Телеграмм чат группы MPSIEMChat страница 890

нет /opt/siem/etc

21:16пожаловаться #1

Vera Kolenikova

Добрый вечер!
Подскажите, пожалуйста, как можно отслеживать ситуацию с отсутствием событий в течение длительного времени? Например, чтобы отлавливать случаи отключения антивируса. Ну и вообще полезно.
Встроенного такого правила не нашла, а написать кажется не так просто, учитывая, что нельзя писать not Event1.

мониторинг источников?

21:17пожаловаться #2

Кац in MaxPatrol SIEM

max

healthmon только

хэлсмон где? на сиеме?

21:17пожаловаться #3

Roman Sergeev in MaxPatrol SIEM

Кац

хэлсмон где? на сиеме?

да

21:17пожаловаться #4

max in MaxPatrol SIEM

Кац

хэлсмон где? на сиеме?

Да, на сием сервере. Он за этим смотрит

21:18пожаловаться #5

@VKolenickova если кейс с антивирусом то например ksc алертит о приостановке защиты...

21:18пожаловаться #6

max in MaxPatrol SIEM

@VKolenickova если кейс с антивирусом то например ksc алертит о приостановке защиты...

Подозреваю, что имелся ввиду случай, когда ksc по тем или иным причинам события в сием перестал нести.

21:19пожаловаться #7

max

Подозреваю, что имелся ввиду случай, когда ksc по тем или иным причинам события в сием перестал нести.

тогда мониторинг источников я думаю спасет

21:19пожаловаться #8

@VKolenickova если кейс с антивирусом то например ksc алертит о приостановке защиты...

Ага, это уже хорошо.
А в общем случае? Мониторинг источников в чём заключается?
Я просто привыкла, что в другом SIEM такое правило уже встроено, только источник правильный подставляй.

21:19пожаловаться #9

Vera Kolenikova

21:20пожаловаться #10

Ага, значит, надо следить за EPS, видимо.

21:21пожаловаться #11

за задержкой

21:21пожаловаться #12

хотя...

21:21пожаловаться #13

у меня за eps не очень получается следить

21:21пожаловаться #14

Не, ну если он вдруг становится равен 0, то что-то явно не так.

21:22пожаловаться #15

Посмотрю в эту сторону, спасибо.

21:23пожаловаться #16

Если MP SIEM Server установлен на узле с Windows, файл siem.conf расположен на
узле установки сервера в папке config, если на узле с ОС семейства Unix — в
каталоге /opt/siem/etc

если мы ставим апдейты а не установку с нуля то имеем путь /opt/mpxsiem/etc и файл ptsiem.conf, думаю надо это в мануале указать

21:24пожаловаться #17

Roman Sergeev in MaxPatrol SIEM

спасибо
изучим

21:29пожаловаться #18

systemctl restart siem-healthmon.service - Тоже самое

21:32пожаловаться #19

siemserver-healthmon.service называется демон