так там все интересное за пейволом

Платная лучше

Очень дорого

У вас просто бюджет маленький

будем наблюдать за новыми письмами)

суть была в разведке IP пространства

Зачем тебе SIEM?

В целом:

1.       Знать свою инфраструктуру

2.       Систематизировать и упорядочить происходящее внутри организации

3.       Оперативно выявлять инциденты

4.       Выявлять старые инциденты на основе новых данных

5.       Расследовать инциденты

6.       Делать всё вышеперечисленное с минимальными трудозатратами

7.       Дополнительно (при условии успешности пункта #6).. Дублировать некоторые функции других СЗИ (пересекающиеся с пунктами #1-#5).

 

В частности, (на примерах):

1.       Получать ответы на вопросы о текущем состоянии инфраструктуры (например: что за узлы у меня в DMZ, какие службы запущены на серверах с IIS, и др.).

2.       Видеть происходящее в инфраструктуре в понятном \ удобном виде (обогащение, контекст узлов\учеток, конечно же нормализация, агрегация событий\инцидентов)

3.       Возможность давать быстрые ответы на простые вопросы, касаемо, как состояния инфраструктуры, так и того что в ней произошло.  (сколько узлов с запущенным сервисов Х, сколько винды на периметре, когда и кто создал учетку Х, когда резолвился и во что домен Х, кто логинился на ip X, Когда и где был файл X с md5 Y, Кто удалил файл Х в папке Y на сервере Z)

4.       При срабатывании корреляции видеть контекст и давать возможность докинуть сюда же дополнительную информацию

5.       Максимально «коробочно» выявлять типовые проблемы\инциденты инфраструктуры, и в то же время иметь простейший инструмент по работе с исключениями и фолсами.

6.       Чтоб система хранила всё и по этому всему можно было делать любой сложности аналитику. Например ретроспективно искать новые паттерны.

7.       Иметь систему способную из коробки собрать всё самое необходимое и нужное с большей части инфраструктуры (без писания скриптов на питоне и других больших трудозатрат). И с другой стороны при подключение новых узлов (обычных\типовых) не переписывать уже настроенные детекты.

8.       Архитектурно поддержать «большие» объёмы. (другими словами не думать, что оно опять не прожует сейчас или отбросит по лицензии).

9.        Иметь возможность впихнуть любые данные в систему и любые из неё вытащить (API и всё что с этим связано)

Ну раз сегодня пятница, и все забились по норам и молчат, предложу я тему для пятничного холивара. Тема: Нужно ли тащить в SOC все логи, кто должен решать по полноте и достаточности и доколе хранить?