а так после установки мин 10-15 ждал и завелось все

выяснил следующее:
1. создание БД vm_content - отработало:
Database: 'vm_content', isMerging: False, migrationStatus: SuccessfullyCompleted, status: Created
2. создание БД siem_content - НЕТ
Database: 'siem_content', isMerging: False, migrationStatus: SuccessfullyCompleted, status: CreateFailed.

куда посмотреть для трассировки причины?

Коллеги, добрый день. Не подскажете?! Пытаемся подружить MP Multiscanner c MP SIEM. И при регистрации площадки пишет ошибку:

"Не удалось настроить репликацию. Версия контракта репликации 3.* площадки SIEM несовместима с версией 3.* площадки Multiscanner"

Positive Technologies и «Информационная внедренческая компания» завершили интеграцию системы выявления инцидентов MaxPatrol SIEM с межсетевым экраном для защиты данных ограниченного доступа «ИВК Кольчуга-К». Совместное использование продуктов расширит возможности по обнаружению нежелательного входящего трафика в локальных сетях и предотвратит несанкционированный доступ к информации.

Подробнее:
https://www.ptsecurity.com/ru-ru/about/news/pt-i-ivk-obedinili-vozmozhnosti-maxpatrol-siem-i-ivk-kolchuga-k-dlya-povysheniya-kiberbezopasnosti-gosucherezhdenij/

Коллеги, можете скинуть архив с гайдами по xspider. В медиатеки портала education не нашел. Спасибо

Добрый день, можете посмотреть на портале поддержки

Спасибо нашел

Коллеги, а можно наивный вопрос.
В Suspicious_process_pairs_Child - есть notepad.exe
А почему? Есть какая-та атака которая подразумевает выполнение блокнота браузерами?

Коллеги, у кого есть в активах циска аса, как вы настраивали сислог логирование? Уровень логирования informational выставляли или какой?

Очень много генерится мусорных событий

Если блокнот будет родительским процессом cmd или powershell, то это странненько

Судя по табличке и правилам - он тут запрещён быть дочерним процессом

А можно правило в ЛС?

Коллеги, добрый день! Подскажите, есть ли, помимо CEC, способ сбора архивных журналов винды (.evt(x))?

подключить к системе и собрать обычным образом через wineventlog?

вариант рабочий, но хотелось бы таскать с шары filemonitor-ом. но, так понимаю, проще обычным wineventlog-ом

filemonitor не прочитает evt(x)

всем привет.
подскажите по правилу Infected_object_detect_and_not_clean_on_event_src_host.  
У меня события обнаружения вируса и его очистки прилетают в коррелятор одновременно (метка recv_time одинаковая). Соответственно регистрируется инцидент на эту активность. Хотя по логике его нет.
Начал разбираться и понял, что в в правиле используется Оператор timer который начинает отсчет от времени попадания в коррелятор событий.  А в данном случае логичнее  использовать within, который сравнивает как раз по времени события (метка time). Но тут проблема - его нельзя использовать при отрицании события ( -> not event). С ним только  можно использовать  timer, как и в правиле.
Никто не сталкивался с таким кейсом? У всех корректно работает, если события с одинаковым recv_time прилетают?

recv_time не работает в корреляции
там только time

но time это ведь не время попадания события в коррелятор. я исходил из того, что раз они собраны одновременно (recv_time одинаковый), то и в корреляторе они одновременно. Соответственно в моем случае событие об удалении вируса попадает в коррелятор раньше чем об его обнаружение. Поэтому генерится инцидент