Ну это же мракетирговое:)
И неужели циске ответить нечем по l7?)

Ну мы никогда не опустимся до уровня "SOC = NGFW" 😉 Хотя рассказать (со ссылкой на авторитет Гартнера), что SOC NG без NTA, EDR и CASB/UEBA - это деньги на ветер, можем

Не нуди:)

Ты (лично) никогда же не опустишься до сравниванения процессов и железки ;)

Кто бы говорил)

Так. Наверное режим бояна сейчас включу. Но вброшу следующий вопрос: а нужна ли вообще вам, друзья, корреляция в сок? Объясню свой вопрос. Много общаюсь с коллегами по цеху, в том числе в разрезе use case.  И чем дальше тем больше вижу, что в среднем по больнице все инциденты которые запускают каждый из заказчиков в siem, работают каждый на своём источнике. Микрокорреляция событий антивируса, сборка событий WAF воедино, склеивание событий от контроллера домена. При этом сами источники, приобретая NG - окрас, сами умеют делать такую корреляцию на борту. В итоге на мой взгляд в среднем почти все реально не используют возможности корреляции.

А как дела обстоят у вас: сколько или какой процент сценариев использует сложную корреляцию с одного источника? А сколько прямо с нескольких?

Интереснее аномальные и  поведенческие корреляции на большом потоке и обьемах данных, но они требуют большего обьема знаний от аналитика и уметь в датасайнс, плюс время, ресурсы и данные для отладки и повторяемости процесса, т.е. немного уметь в датасайенс (тут должна быть картинка про Карлсона датасаентиста)

Включил зануду - все корреляции о которых идет речь это всего лишь фильтр и агрегатор событий, по одному источнику, нескольким, по спискам, статистические, исторические и так далее. Используются самые простые фильтры, так как их проще поддерживать и отлаживать. Делать фильтры в разных консолях сзи неэффективно из за переключения контекста аналитика, да и выборки в этих консолях в глубину не сделаешь.

К сожалению последнее, также как и обогащение событий из TI у нас практически не встретишь, так как ни времени, ни ресурсов, ни уровня зрелости наших компаний просто недостаточно

А если ты закончил физфак и включил зануду, то ты знаешь, что Корреляция - это взаимосвязь двух или более процессов:) корреляции на одном источнике быть не может:)

включу зануду тоже, от аналитика требуется уметь только в азы статистики, а не датасайнс в подавляющем большинстве кейсов. аналитик, не умеющий в матстат - не аналитик.

включу зануду тоже, от аналитика требуется уметь только в азы статистики, а не датасайнс в подавляющем большинстве кейсов. аналитик, не умеющий в матстат - не аналитик.

А если ты закончил физфак и включил зануду, то ты знаешь, что Корреляция - это взаимосвязь двух или более процессов:) корреляции на одном источнике быть не может:)

А если ты закончил физфак и включил зануду, то ты знаешь, что Корреляция - это взаимосвязь двух или более процессов:) корреляции на одном источнике быть не может:)

Винда, скоррелировать события от входа пользователя, запуска процесса, изменения системного файла - конечно не корреляция, но что тогда?