AR
К Suppress обратиться видимо нельзя, но в явном виде это не написано
Size: a a a
2020 March 26
RS
А он ругается или не фильтрует просто?
AR
Ругается
RS
Event viewer то это ест?
AR
То есть другими словами: в стандартной форме виндового запроса есть блок select для указания того, что нужно забрать из журнала, и блок suppress для указания того, что нужно исключить. Как я понял то, что вводится в модуле, воспринимается сразу как содержимое блока select
AR
Event viewer то это ест?
Да, я скинул рабочий запрос вьюера
RS
То есть другими словами: в стандартной форме виндового запроса есть блок select для указания того, что нужно забрать из журнала, и блок suppress для указания того, что нужно исключить. Как я понял то, что вводится в модуле, воспринимается сразу как содержимое блока select
Вводимое в модуле примерно без изменений уходит параметром во что-то типа EvtSubscribe
RS
Заводите тикет
AR
Ок, спасибо
2020 March 27
VS
Добрый вечер! Только начал изучать siem, подскажите примерную схему подключения цодов к siem. Ставится на каждую ВМ агент, для сбора логов с каждой машины? Интересует пока возможность сбора логов с самих машин.
RS
сбор удалённый
это основной сценарий
если я правильно понял ваш вопрос
это основной сценарий
если я правильно понял ваш вопрос
VS
А есть сценарий, где агент не ставится на каждую ВМ в ЦОДе, а например возможно может собирать логи с хостов, на которых крутятся ВМ?
К
MP SIEM использует метод сбора данных без установки на конечные точки.
Не важно, нужно ли собирать события с виртуалок или с гипервизора - ничего ставить на конечные точки не надо.
Не важно, нужно ли собирать события с виртуалок или с гипервизора - ничего ставить на конечные точки не надо.
RS
Термин "агент" смущает, полагаю
К
Эх. его бы переименовать...
RS
В этом смысле у нас сбор безагентный
К
безколлекторный и безконнекторный :D
E
Безколекторный сбор-очень странный предмет. Сбор вроде есть, а коллектора нет.
К
Сбор Шредингера
IY
Эх. его бы переименовать...
Предлагаю «Собиратор»