Это уже не проблема неэкстракции данных в какое-то поле, разве нет?

Это да, я уже в общем о ситуации

Понятия не имею. Думаю, что нет - потому что не будете же вы во всех БД, в том числе и на продакшне, скрипт создания / удаления запускать. Не говоря уж о том, что разработать такой набор - это задача года так на два))
Ну и вторая часть, про удаление старых хостов и появление новых, тоже остаётся. Скрипт запустили, только БД логи не шлёт. А вы и не знаете, что она их не шлёт 😁

Для мониторинга поступления логов есть Мониторинг источников почти в любом СИЕМ

появление новых источников и исчезновение старых тоже поддается контролю через сканирование инфры

Он мониторит источники и поток:)

да, структуру потока никто не умеет контролировать

Ну это же уже другие 2 проблемы.
1. Зачем гонять на всех, типичный для цели данной атаки хост-группу хостов поднять, чтобы были все сервисы, которые должны отсылать свои логи для успешной корреляции.
2. Разрабатывать такой набор нужно не завтра с утра садиться, в просто процесс написания алерта чуть поменять.
3. Насчёт исчезания хостов - согласен.
Но вообще да, то, что я предложил сильно нагрузит аналитика - писать маленькую "разворачивалку" инфраструктуры под каждую покрытую атаку вряд-ли норм решение.

сохраняйте события, на которых должно работать правило. И контроллируйте, что формат не поменялся.
Перепроверка нужна по сути при обновлении источника\парсеров

Ну я о том, что самый примитивный, дубовый путь - это развернуть тест-группу и гонять там тесты, и раз в неделю проверять, что алерты на эти тесты приходят. Можно репортом проверять, автоматически.

Но даже этот "простой" подход таит в себе такое количество геморроя и усилий (плюс накладные расходы на все новые алерты), что реализовывать это на практике сил не хватает. А уж если говорить про более-менее качественное покрытие части реальной инфраструктуры - то остановите этот трамвай, у меня в Линкедине ещё пять пропущенных вызовов

Ну, кто-то забивает, кто-то делает вид что чинит, третьи тупо делают вид что всё идёт по плану. Единицы (мифологические сущности, приравнены к небожителям) наладили процесс.

:))))

Даже не поток событий, а их "рисунок" если угодно

40.

Нет, 42

Летят Чапаев и Петька в самолете, и вдруг Василий Иванович, сидящий за штурвалом пилота, вскрикивает: «Петька, приборы!» Следует ответ: «Тридцать восемь». «Что тридцать восемь?» — «А что приборы?»`

Для начала - не надо писать в таблицу ;) Вы пытаетесь решить проблему привычным способом, а она так не решается в виду сложности.

Именно, коллега.

вы серьезно считаете что темп изменений в инфре никак не влияет на настройки аудита и, как следствие, логи?

Типичный пример ошибки выжившего.