непременно, спасибо

Есть еще классические кейсы накопления. К примеру надо где-то хранить инфу по текущим сетевым сессиям и использовать в корреляции. Одно правило пишет по событиям от сетевых железок, другое читает. Аналогичная тема с натированием (NAT).

Классический кейс с профилированием. Есть правила наполняющие, есть читающие. Иногда можно все сделать в одном правиле (если логика простая) Тогда правило и пишет и читает

Есть аккумуляционные кейсы. Например посчитать размер проходящего трафика по активным сессиям и сравнить с порогом

Профилирование силами правил и списков ИМХО это скорее из разряда теории пока, хотя возможно найдутся коллеги которые меня опровергнут и подялятся кейсами из практики))

:)

хорошо. когда опережаешь теорию на практике :)

почему же теории

работает профилирование на списках и правилах

Теймур, а что профайлите коли не секрет?

Да много всего в целом. Сходу - домен админы; контроллеры доменов; хосты, где логинятся определенные пользователи; хосты, откуда логинятся определенные пользователи; учетки, используемые на определённых хостах и т.д.

огонь!

+ юзеры использующие определенный софт, юзеры которые соединяются с определенными хостами и на что у вас еще хватит фантазии

профилирование внешнего периметра (любой новый сервис, исключения по маскам, категориям, диапазонам портов и т.д.), Профили на внутренние сегменты сети. Профилирование аутентификации полное (опять же с возможностью прописывать группы пользователей, категории хостов. подсети и т.д.). Профили процессов (хоть и косячит местами) на хостах в привязке к категориям серверов. Профили доступа к папкам на файловых серверах.
И все это еще и управляется листом, в котором заданы критерии профилирования и текущий статус (собирается или в работе с возможностью по каждому объекту профилирования этот статус переключить... )
Так что да, на что хватит фантазии :)

хранение инфы о авторизациях в АД в ТС и потом обогащение сетевых событий этой инфой....много чего

всем привет. У нас очередной важный опрос с корыстной целью сделать всем лучше!

Мы проводим опрос на тему, как организована удаленка в компаниях России и стран СНГ. Это поможет нам выбрать приоритеты в разработке способов защиты. Пожалуйста, ответьте на 7 вопросов: http://bit.ly/homeofficesurvey
Опрос анонимный

Hotjar
Hotjar Survey
Survey powered by Hotjar.com. Create your own Survey now - it's free, quick & easy!

Всем 👋 есть  спецы кто знает ELK?

Напишите в личку. Есть работа

https://t.me/elasticsearch_ru Лучше там спросить