Телеграмм чат группы MPSIEMChat страница 881

Size: a a a

MaxPatrol SIEM

979 membersпожаловаться на группу

2020 April 17

Roman Sergeev in MaxPatrol SIEM

Кац

мне по началу дико рвало шаблон, что я не могу фильтр по событиям перености через ctrl+c - ctrl+v в фильтр правила

это рвёт шаблон всем, кто пишет реальные правила
я сам страдаю

источник

13:59пожаловаться #1

e6e6e in MaxPatrol SIEM

Roman Sergeev

кстати, я тут на днях сказал, что == лучше =
так я был неправ

Там был вопрос про локализацию. ИМХО, пофигу же, даже не смотря на правила XP.

источник

13:59пожаловаться #2

Кац in MaxPatrol SIEM

Roman Sergeev

это рвёт шаблон всем, кто пишет реальные правила
я сам страдаю

не, ща уже норм. но год я пытался это прожевать. прожевал.

источник

13:59пожаловаться #3

Roman Sergeev in MaxPatrol SIEM

Кац

а конкретнее?

ну в локализациях разрешено == и =
и мы всё-таки решили, что в будущем мы всё переведём на =
запретов пока не планируется

источник

14:00пожаловаться #4

Кац in MaxPatrol SIEM

Roman Sergeev

будет

да не будет... если все будут отдавать себе отчет в том, что поиск событий не имеет отношения к пайплайну сиема и нужен для других целей

источник

14:00пожаловаться #5

Кац in MaxPatrol SIEM

я просто пришел с продукта, где поиск по событиям == правило на событиях == корреляция на событиях

источник

14:01пожаловаться #6

e6e6e in MaxPatrol SIEM

Roman Sergeev

это рвёт шаблон всем, кто пишет реальные правила
я сам страдаю

До сих пор надрывы не зажили )

источник

14:02пожаловаться #7

Roman Sergeev in MaxPatrol SIEM

Кац

я просто пришел с продукта, где поиск по событиям == правило на событиях == корреляция на событиях

я понимаю про спланк и их архитектуру

источник

14:03пожаловаться #8

Кац in MaxPatrol SIEM

я ещё стебался над Андреем, что одна и та же логика на "этом не реалтайм недосиеме" отрабатывает быстрее, чем на позитивном "реалтайм"

источник

14:03пожаловаться #9

Zer🦠way in MaxPatrol SIEM

нормализация с ksc кривая по ходу

источник

14:17пожаловаться #10

Zer🦠way in MaxPatrol SIEM

при детекте атаки не правильно пишет имя атаки, не то поле

источник

14:17пожаловаться #11

e6e6e in MaxPatrol SIEM

Zer🦠way

при детекте атаки не правильно пишет имя атаки, не то поле

В стоковых формулах нормализации многие поля заполняются из полей исходного события "parN", а не из профильных.

источник

14:19пожаловаться #12

Zer🦠way in MaxPatrol SIEM

да

источник

14:24пожаловаться #13

Zer🦠way in MaxPatrol SIEM

вижу

источник

14:24пожаловаться #14

Zer🦠way in MaxPatrol SIEM

оттуда и берет трешак

источник

14:24пожаловаться #15

Zer🦠way in MaxPatrol SIEM

хотя там разбирается в нормализации дескрипшен

источник

14:30пожаловаться #16

Zer🦠way in MaxPatrol SIEM

и с ним можно работтаь

источник

14:30пожаловаться #17

2020 April 18

Zer🦠way in MaxPatrol SIEM

источник

20:27пожаловаться #18

Zer🦠way in MaxPatrol SIEM

драсте, тут нужно приведение к регистру либо нижнему либо верхнему

источник

20:27пожаловаться #19

Zer🦠way in MaxPatrol SIEM

а то можно фолсы ловить в определенных ситуациях

источник

20:28пожаловаться #20