V
Забудьте про ретро на живом Сием. Вы его просто убьёте. Такая задача очень прожорлива по ресурсам и заставляет базу Сием работать в самом паршивом режиме R/W. Это относится к любому СИЕМ.
И я об этом. А теперь вопрос - где ретро, если не в СИЕМ?
Size: a a a
2020 May 26
v
Забудьте про ретро на живом Сием. Вы его просто убьёте. Такая задача очень прожорлива по ресурсам и заставляет базу Сием работать в самом паршивом режиме R/W. Это относится к любому СИЕМ.
я бы поспорил. Скорее не надо каждый час гонять миллионы иоков. это да. подходить надо умно. но это как раз задача SIEM
v
потому что больше негде
NA
Мы свой пилим на Кликхаусе
МЖ
тягайте агрегаты из сием во внешнюю базу и обрабатывайте там
NA
я бы поспорил. Скорее не надо каждый час гонять миллионы иоков. это да. подходить надо умно. но это как раз задача SIEM
не стоит спорить я тебя бенчмарками СУБД закидаю :) и описанием физики процессов в СУБД )))
Z
Мы свой пилим на Кликхаусе
вы события параллельно в клик пишите?
$
Есть платформы, которые умеют это делать, например, в СИЕМ отдать на ретроспективу. Но многие сиемы от этого захлебываются, т.к. задача реализована табличными списками в том или ином виде, а иоков сотни тысяч и миллионы - с такими списками все умирает
Смотри, все потребности что ты перечислил есть почти везде (ттл мне кажется вам совсем не нужен).
Дальше вопрос интеграции - суибы сами забирают или тип в них пуляет или третий сервис-управлялка это делает - это уже как вы захотите. Api почти везде сейчас есть
Основной вопрос что вы хотите делать сами, а что получить из коробки/чтобы вам сделал интегратор.
Функционал классических ТИПов почти везде одинаков и подпадает под ваши хотелки
Дальше вопрос интеграции - суибы сами забирают или тип в них пуляет или третий сервис-управлялка это делает - это уже как вы захотите. Api почти везде сейчас есть
Основной вопрос что вы хотите делать сами, а что получить из коробки/чтобы вам сделал интегратор.
Функционал классических ТИПов почти везде одинаков и подпадает под ваши хотелки
v
ты конечно прав, спору нет. Но давайте признаем это история только для избранных
$
И я об этом. А теперь вопрос - где ретро, если не в СИЕМ?
Во второй сием
NA
вы события параллельно в клик пишите?
выжимки из событий
Z
выжимки из событий
ip,domainname, hash?
$
ip,domainname, hash?
И источник
МЖ
по каждому типу индикатора минимально необходимый объем данных, по которому можно сказать "где и когда он найден или не найден"
NA
ip,domainname, hash?
+url+registry
V
Во второй сием
🙈
МЖ
дальше если найден - при желании можно прицельно дергать все событие
МЖ
Во второй сием
как вариант :) В котором будет сильно меньше данных и никакой "левой" нагрузки
$
Максим Жевнерев
как вариант :) В котором будет сильно меньше данных и никакой "левой" нагрузки
Не вздумай ставить это ко мне в разработку)
МЖ
я и не собирался :)