Телеграмм чат группы MPSIEMChat страница 911

Тогда странно.. Ресивер это последняя очередь на ядре, данные из неё забирает сервис receiver который находится на SIEM Server. Попробуйте просмотреть его журналы

источник

12:34пожаловаться #12

Z

Zer🦠way in MaxPatrol SIEM

количество потоков нормализатора уменьшил...наблюдаемс

источник

12:42пожаловаться #13

Z

Zer🦠way in MaxPatrol SIEM

сделал 2 воркера для ресирвера

источник

12:42пожаловаться #14

Z

Zer🦠way in MaxPatrol SIEM

Alexander Stepanov

Тогда странно.. Ресивер это последняя очередь на ядре, данные из неё забирает сервис receiver который находится на SIEM Server. Попробуйте просмотреть его журналы

нет ошибок. преступного тоже нет

источник

13:11пожаловаться #15

🅳

🅳Ⓐ🅽 in MaxPatrol SIEM

Коллеги, а как то можно правилом корреляции поменять только одно из полей в записи в ТС, не меняя другие, типа update в SQL?

источник

14:51пожаловаться #16

e

e6e6e in MaxPatrol SIEM

🅳Ⓐ🅽

Коллеги, а как то можно правилом корреляции поменять только одно из полей в записи в ТС, не меняя другие, типа update в SQL?

Через exec_query с qhandler получить текущие значения строки в ТС, сохранить их в переменную (например, $result - вроде, в коробочных правилах была такая конструкция), выполнить insert_into, изменив значение того поля, которое вы хотели обновить в строке.
Если изменяется значение ключевого поля ТС, то старую строку нужно удалить через remove_from.

источник

15:09пожаловаться #17

🅳

🅳Ⓐ🅽 in MaxPatrol SIEM

e6e6e

Через exec_query с qhandler получить текущие значения строки в ТС, сохранить их в переменную (например, $result - вроде, в коробочных правилах была такая конструкция), выполнить insert_into, изменив значение того поля, которое вы хотели обновить в строке.
Если изменяется значение ключевого поля ТС, то старую строку нужно удалить через remove_from.

Этот способ понятен, думал попроще как то можно (

источник

15:12пожаловаться #18

RS

Roman Sergeev in MaxPatrol SIEM

🅳Ⓐ🅽

Этот способ понятен, думал попроще как то можно (

нет

источник

15:14пожаловаться #19

🅳

🅳Ⓐ🅽 in MaxPatrol SIEM

e6e6e

Через exec_query с qhandler получить текущие значения строки в ТС, сохранить их в переменную (например, $result - вроде, в коробочных правилах была такая конструкция), выполнить insert_into, изменив значение того поля, которое вы хотели обновить в строке.
Если изменяется значение ключевого поля ТС, то старую строку нужно удалить через remove_from.

А если не ключевое поле меняю, то строка просто проапдейтится ?

источник

15:19пожаловаться #20