A
Говорил не про собственные вендорские реп списки. А полноценные фиды. Это то что заказчик сам качает из разных мест.
да
Size: a a a
2020 May 28
PK
Дискуссия становится интересной)
v
Про это и речь. Нет нормального инструмента. И главное фиды по определению не могут быть чисто вендорской историей. Всё же они ближе к комьюнити стайл. А значит и инструментальная обвязка должна быть доступна какая-то .
PK
Если я правильно уловил идею, то вы хотите, чтобы фид прилетал на сзи, и сзи на основе данных фида делала какие то действия?
A
Если я правильно уловил идею, то вы хотите, чтобы фид прилетал на сзи, и сзи на основе данных фида делала какие то действия?
алертила
A
или блокировала если в фиде на 146% уверены
PK
алертила
А зачем сзи алертить, если это можно делать в сиеме?
A
А зачем сзи алертить, если это можно делать в сиеме?
для того чтобы не перегружать SIEM обогащением
A
Большинству которые сегодня стоят у заказчиков не хватает мощностей, и вот геморроя с избытком.
👆
PK
для того чтобы не перегружать SIEM обогащением
То есть фид прилетает в систему управления, СЗИ делает первичный анализ и отправляет в сием только одну строку, вместо всего всего лога?
v
Нет. У заказчика есть сием хорошо. У заказчика нет синема тоже не страшно. Для задачи поиска следов срабатывания фидов чием не нужен. И даже сзи в большей части не нужны.
v
Нужен Калашников который берет например всегда данные по днс из виндового днс который и так есть у 95% организаций
v
Ну и часть про обмен там чуточку важнее. Но мне страшно ее обсуждать пока
A
Нужен Калашников который берет например всегда данные по днс из виндового днс который и так есть у 95% организаций
предобработка перед отправкой в SIEM
Z
предобработка перед отправкой в SIEM
Либо просто в интерфейсе сзи отображение
Z
Зачем в сиеме это
Z
Хотя сзи не отобразит этого. Как то контролировать сработки необходимо чтобы переходить на 2 часть действий после детекта
A
Хотя сзи не отобразит этого. Как то контролировать сработки необходимо чтобы переходить на 2 часть действий после детекта
ну либо сразу в разбор инцидентов,либо в сием на агрегацию и дополнительную обработку/активное обогащение и т.д.
Z
Щас придумаем tias
Z
🤣🤣🤣