Телеграмм чат группы MPSIEMChat страница 833

Коллеги, как вчера обсуждали, заменил поля с 0.0.0.0/0 на ip адреса источников (в сырых событиях они указаны были как recv_ipv4) и пос4ле перезагрузки задачи - все события пропали (перестали поступать), где-то я ошибся в синтаксисе?

источник

10:59пожаловаться #8

E

EИ0Ʇ in MaxPatrol SIEM

virars

Коллеги, как вчера обсуждали, заменил поля с 0.0.0.0/0 на ip адреса источников (в сырых событиях они указаны были как recv_ipv4) и пос4ле перезагрузки задачи - все события пропали (перестали поступать), где-то я ошибся в синтаксисе?

что-то мне кажется что там нужно указывать с маской

источник

11:08пожаловаться #9

m

max in MaxPatrol SIEM

virars

Коллеги, как вчера обсуждали, заменил поля с 0.0.0.0/0 на ip адреса источников (в сырых событиях они указаны были как recv_ipv4) и пос4ле перезагрузки задачи - все события пропали (перестали поступать), где-то я ошибся в синтаксисе?

а что в логах задачи?

источник

11:10пожаловаться #10

RS

Roman Sergeev in MaxPatrol SIEM

EИ0Ʇ

что-то мне кажется что там нужно указывать с маской

необязательно
более того, как я написал выше, оно по разному обрабатывается

источник

11:11пожаловаться #11

v

virars in MaxPatrol SIEM

max

а что в логах задачи?

Чуть позже скину, но как только я поставил стандартный профиль - логи пошли

источник

11:22пожаловаться #12

v

virars in MaxPatrol SIEM

Ещё вопрос, по поводу запросов в эластик, как комбинировать запросы? Например по recv_ipv4 и normalized

источник

11:23пожаловаться #13

c

cinortoce in MaxPatrol SIEM

virars

Ещё вопрос, по поводу запросов в эластик, как комбинировать запросы? Например по recv_ipv4 и normalized

q=recv_ipv4:10.10.10.10%20AND%20normalized:true

источник

11:37пожаловаться #14

ML

Mr Linkoln in MaxPatrol SIEM

e6e6e

Сейчас получается так

боюсь, что никак. так с любым обьектом, не только табличкой

источник

11:39пожаловаться #15

ML

Mr Linkoln in MaxPatrol SIEM

более того, если есть правила, или иные обьекты с ошибками, со статусом "установлено неактуальное", то у тебя не выйдет ничего добавить или обновить, пока не поправишь косячные🙃
очень логичное решение (нет)

источник

11:40пожаловаться #16

v

virars in MaxPatrol SIEM

cinortoce

q=recv_ipv4:10.10.10.10%20AND%20normalized:true

Ага, понял, спасибо!

источник

11:44пожаловаться #17

v

virars in MaxPatrol SIEM

max