давайте так. Я вам скину рекомендацию, которую мне в своё время дали в ТП)

Управление ротацией журналов задач доступно через справочник:
На странице: "Сбор данных" → "Справочник" доступен справочник по умолчанию "logging_settings" с параметрами:
params max_file_size="100" max_backup_index="50", что означает на одну задачу максимум 50 журналов размером по 100 мегабайт.

Если Вы хотите поменять ротацию для какой-то конкретной задачи, то это можно сделать, создав новый справочник и указав его в профиле через параметр "Настройки журналирования".

Но я так понимаю, Вам нужно поменять его для всех задач сразу, поэтому:
1) Перейдите в папку "C:\Program Files (x86)\Positive Technologies\MaxPatrol SIEM Agent"
2) Создайте файл ModuleHost.log.xml
3) Скопируйте в файл содержимое справочника "logging_settings", установив необходимые параметры ротации.
Через 20 секунд настройки применятся автоматически.

Спасибо, пошел настраивать.

та не за что)  обращайтесь)

Еще момент. При новых настройках ротации система сама не затрёт старые журналы. Так что старые удалить нужно будет в ручном режиме

Ясно.

ну и хорошего дня)

Взаимно.

А какая версия SIEM?

Последняя, послу обновление все и началось.

А трафик в от и до SIEM не возрос случаем?

Ну она уже не последняя.

Точно, возрос, сетевики уже интересовались, что случилось.

В аналогичном случае мне помогли в ТП

Изменили настройки?

ну если можно так сказать

А NAS не используете под это дело?

Или тут особый, колдунский смысл?

Всем привет!
23.09 прошел вебинар «MaxPatrol VM+MaxPatrol SIEM: синергия двух продуктов». Вопросов было так много, что на часть из них мы пообещали ответить в чатике.
Первая порция:

1️⃣Планируется ли в будущем добавлять Threat Intelligence к данным продуктам?
- нет, у нас своя лента трендовых уязвимостей и локальная база уязвимостей в целом, верифицированная нашими экспертами, отдельные подключаемые фиды к VM не планируются

2️⃣Поддерживает ли VM расчёт CVSS environmental?
- да, стандарты v2 и v3

3️⃣Как ВМ может узнать об уязвимостях без повторного сканирования, а если уязвимость уже закрыли откуда он узнает об этом?
-VM хранит информацию об активах. На основе этого при появлении новой уязвимости (попадании её в БД уязвимостей) перерасчитывает автоматически. Грубо говоря, есть софт 1.0, для него 10 уязвимостей. Появилась 11 уязвимость для софта версии именно 1.0 — она автоматом добавится, пересканироваться для этого не надо.

4️⃣Можно ли в VM исключить для определенных активов проверку на определенные уязвимости?
- да

5️⃣Архитектура VM похожа на MP8? Сервер консолидации, сканер и тд?
- агента, сервера — да, консолидатора — нет, управление веб-консолью. Агенты добавляются на сервер, к которому подключается веб-консоль. Есть локальный сервер обновления PT USC, который получает уязвимости от ПТ-шного
Если подробнее — запрашивайте док.

Ждите продолжения #вопросысвебинара

Продолжаем отвечать на #вопросысвебинара. Ответы на вопросы про MaxPatrol SIEM (орфография и пунктуация авторов сохранены)

6️⃣ Как Вы оцениваете функциональность в сравнении MP SIEM (особенно в части FPS) и перспективы развития Kaspersky UMA, SIEM от ЛК?
Коллеги из ЛК делают решение со своим взглядом на рынок и экосистему. Мы можем пожелать им только удачи в этом долгом и тернистом пути, ведь история любого решения, в т.ч. MaxPatrol SIEM, это годы разработок, смена архитектуры, пополнение команды экспертов, недели митингов и тонны съеденных пицц :-) Здесь рассказали, чего нам стоило разработка SIEM: https://habr.com/ru/company/pt/blog/530086/

7️⃣ Почему SIEM так много кушает?)
Для решения задач SOC требуются современные и удобные инструменты (читай функционал), которые в свою очередь и просят кушать ресурсы. Нельзя просто так взять и поставить движок ферари на копейку

8️⃣Можно сравнить MP SIEM и SearchInform SIEM. На одном ли они уровне? Есть ли battle chart по этому вопросу (актуальный, т.к. неактуальный имеется)?
Сравнить можно. Обратитесь к вашему сейлу или PAM (partners@ptsecurity.com)