Anonymous
@rikspace будет жить. Поприветствуем!
Solresl
Anonymous
@Joker_small будет жить. Поприветствуем!
Joker
Всем добрый вечер. Кто подскажет как сие чудо работает
Joker
Aion
Joker
Инфраструктура различная- зоопарк
Joker
Развернул в контейнерах
Joker
Для тритхантинга
Joker
Проект вот
Joker
Cyb3rWard0g / HELK: Охота ELK
https://github.com/Cyb3rWard0g/HELK
Александр
Winlogbeat ток для винды вродь
Александр
А нет нефига
Aion
Winlogbeat это служба, которая отправляет Windows логи на сервер ELK.
Александр
Даже в докере можно собрать
Aion
так потому у меня там знак вопроса и стоит)))
Александр
Лучше спросить, есть ли тут ИБ которые все хотят пистаь
Navern
ИБ хочет логи всего не чьобы в риал тайме читаьь, а чтобы проводить разбор инцидентов
Roman
Что есть "всё"? Pcap подойдёт?
Anonymous
Joe Black будет жить. Поприветствуем!
Dmitriy
✌🏻
Anonymous
@komlevadaria будет жить. Поприветствуем!
G72K
Mentat
Ну так сначала все, потом "ой мать, давай понизим уровни логирования, потом-"ну напиши какой-нибудь скриптик поиска" - а потом катарсис"
Dmitry
Надо просто чтобы все работало и ничего не алертило
Dmitry
А в заббиксах можно же настроить получателей
Dmitry
И уровни важности
Dmitry
Ааа, ну ок
Anonymous
Константин Исаев будет жить. Поприветствуем!
Aleksei
так это немного
Aleksei
ну и их читает какой-нить alienvault или тип того. и триггерит алерты
Aleksei
а зачем кстати админам получать все
Aleksei
ну кроме того что после пары лямов ивентов в гмаиле поиск быстрее чем в самом заббиксе :)
Aleksei
ну это все есть на дашборде, зачем слать то алерты
Aleksei
их все равно никто в итоге не читает
Aleksei
не, телек в углу повесить. но на практике тебе нужен audit trail, а алерты нужны на те ивенты на которые надо реагировать сейчас
Aleksei
ну нет, в твоем случае тогда 20% это норм трешхолд и ты на него уже начинаешь что-то делать. я к тому что много кто ставит алерты на все вообще и получает кучу шума, а реагирует реально на 5-10% от потока всех алертов
Дмитрий
и в итоге на алерты забивают
Dmitry
когда спишь?
Ivan
сидишь и смотришь в графики!
Dmitry
ну нет, в твоем случае тогда 20% это норм трешхолд и ты на него уже начинаешь что-то делать. я к тому что много кто ставит алерты на все вообще и получает кучу шума, а реагирует реально на 5-10% от потока всех алертов
так тогда надо ставить алерты только на то что требует действий
Ivan
ну чтоб точно ничего не пропустить!
Aleksei
а ты ночью тоже смотришь в дашборд?
ночью должны приходить алерты на которые прям вот надо реагировать. диск 20% туда не относится, это можно утром пофиксить :)
Aleksei
так тогда надо ставить алерты только на то что требует действий
ну я так и говорю. просто там выше манагеры хотели много алертов как у админов. вот я и удивляюсь откуда у админов много алертов и зачем им столько
Vladimir
В целом, если алерт фиксится документом в духе "если в логах Х, сделать Y" должен фиксится скриптом
Ivan
Ivan
Я достаточно девопс?
Ed
Ivan
Ivan
Наоборот. Не влез на фото
Ivan
Вертикальную панораму!
Ivan
Ivan
и в VR
Ivan
Даааааа
Ivan
Люблю окошки
Dmitry
Sergey
хм, мне вообще одного ноута хватает
Sergey
это ещё зачем?
Sergey
потому что в графану не могу смотреть постоянно?
Sergey
😆
Aion
Sergey
а можно я тогда на втором ноуте мультики запущу?)
Sergey
дело привычки
Sergey
у меня вот раньше лёжа работать плохо получалось, а через 2 месяца удалёнки норм
Sergey
так и с мониками
Sergey
вот это правильный подход
Dmitry
Где я хотел бы побывать
Ivan
И не в девопс_ру