Телеграмм чат группы chkpchat страница 1615

2020 July 30

I

Igor in Check Point Community (RUS)

добрый день, подскажите, пожалуйста, а можно как-то регулировать за какой период будут логи в smart log 77.30 ?

источник

09:29пожаловаться #1

A

Artur in Check Point Community (RUS)

можно ли сделать Alert на каждое событие action:"Failed Log In"?

пока нашел только включение системных алертов и в самих правилах, а по конкретному индексируемому полю не нашел.
подойдет, если есть, oid для snmp

источник

12:42пожаловаться #2

A

Alexey in Check Point Community (RUS)

Artur

можно ли сделать Alert на каждое событие action:"Failed Log In"?

пока нашел только включение системных алертов и в самих правилах, а по конкретному индексируемому полю не нашел.
подойдет, если есть, oid для snmp

Логэкспорт с фильтром в локальный сислог, локальный парсер, который отправит snmp trap (ну или что там хочется)

источник

13:50пожаловаться #3

A

Artur in Check Point Community (RUS)

Alexey

Логэкспорт с фильтром в локальный сислог, локальный парсер, который отправит snmp trap (ну или что там хочется)

спасибо, сложновато как-то) в принципе у нас еще настроен логэкспорт на спланк, но я его совсем не знаю. эти события на спланке вижу, скорее всего тогда лучше алерт на спланке попробовать настроить

источник

14:09пожаловаться #4

A

Alexey in Check Point Community (RUS)

Artur

спасибо, сложновато как-то) в принципе у нас еще настроен логэкспорт на спланк, но я его совсем не знаю. эти события на спланке вижу, скорее всего тогда лучше алерт на спланке попробовать настроить

Суть примерно та же. Реализация просто несколько иная

источник

14:18пожаловаться #5

A

Artur in Check Point Community (RUS)

Alexey

Суть примерно та же. Реализация просто несколько иная

я все таки надеялся, что чекпоинт какими-то встроенными средствами это умеет, а не через стороннее ПО

источник

14:25пожаловаться #6

A

Alexey in Check Point Community (RUS)

Я и привел вариант встроенных средств )

источник

14:38пожаловаться #7

SS

Sergi Slepkov in Check Point Community (RUS)

Custom event в SmartEvent?

источник

14:50пожаловаться #8

SS

Sergi Slepkov in Check Point Community (RUS)

По любому логу можно сделать

источник

14:51пожаловаться #9

SS

Sergi Slepkov in Check Point Community (RUS)

Или там по 5 повторений за 5 минут и т.п.

источник

14:52пожаловаться #10

A

Alexey in Check Point Community (RUS)

Sergi Slepkov

Custom event в SmartEvent?

Это уже отдельные лицухи + железо для корреляции

источник

15:20пожаловаться #11

SS

Sergi Slepkov in Check Point Community (RUS)

Ну железо не обязательно, модно прям на менеджменте включить

источник

15:24пожаловаться #12

a

arub in Check Point Community (RUS)

Всем привет! Кто-нибудь может подсказать - на оркестраторах MHO-170 в dual-site конфигурации разные ip управления у самих оркестраторов? Или дайте плз ссылку.

источник

16:27пожаловаться #13

DS

Dima Shuvaev in Check Point Community (RUS)

fw ctl zdebug drop покажет пакеты, дропнутые сетевой картой из-за переполнения буфера?

источник

16:29пожаловаться #14

A

Alexey in Check Point Community (RUS)

Dima Shuvaev

fw ctl zdebug drop покажет пакеты, дропнутые сетевой картой из-за переполнения буфера?

Нет, это дебаг уровня ядра

источник

17:38пожаловаться #15

A

Alexey in Check Point Community (RUS)

Дропнутые сетевухой пакеты не покажет никто, т.к. они дропнуты) только каунтер увеличится, который в ethtool можно увидеть

источник

17:38пожаловаться #16

RZ

Roman Zverev (Farc0m... in Check Point Community (RUS)

zzz

Коллеги, подскажите по IPS. Часто срабатывает на брутфорс рдп когда пользователь работает удаленно. Причем подключается он именно к своему офисному компьютеру, а не к другим. Не пойму, это действительно брутфорс? В дампе одно и тоже msthash=логин сотрудника

Столкнулись с аналогичной проблемой. Даже СИБ наш возбудился по этой теме. Ситуация та же - удаленные сотрудники работают со своими офисными компьютерами. С чем связано - пока не понял.

источник

17:57пожаловаться #17

z

zzz in Check Point Community (RUS)

Roman Zverev (Farc0m) Zverev

Столкнулись с аналогичной проблемой. Даже СИБ наш возбудился по этой теме. Ситуация та же - удаленные сотрудники работают со своими офисными компьютерами. С чем связано - пока не понял.

понял, спасибо что написали
а в поддержку не обращались с данным вопросом?

источник

18:05пожаловаться #18

RZ

Roman Zverev (Farc0m... in Check Point Community (RUS)

zzz

понял, спасибо что написали
а в поддержку не обращались с данным вопросом?

Нет, пока еще не разбирались, выставили сигнатуру в detect.

источник

18:06пожаловаться #19

z

zzz in Check Point Community (RUS)

Roman Zverev (Farc0m) Zverev

Нет, пока еще не разбирались, выставили сигнатуру в detect.

у нас в prevent выставлено, вроде никто не жалуется, но разобраться хочется

источник

18:07пожаловаться #20