тут нет однозначного ответа
зависит от того, что вы с этим списком делаете
так-то и миллионы записей могут быть спокойно обработаны
ну и тип дискового хранилища под табличками сильно влияет (ssd vs hdd)

Это не опция для каждого пилота, это возможность в исключительных случаях договориться о таком, если это краеугольный камень успешности пилота. Договариваться соответственно с сейлом/пресейлом.

То есть она есть, но обсуждается индивидуально :)

Не, ну чисто теоретически, если есть необходимость показать возможность гибкости решения, если не говорить, например, о 100% нормализации всего, а о демонстрации именно того, что события источника поступают на сием, то вряд ли коллеги откажутся от проекта?))

поступление событий на источник поддерживаемым транспортом отлично демонстрируется фильтром по normalized = false :)

Решил настроить geoip, взяв за основу https://github.com/feedb/MPSiem_addons , после импорта/создания пары справочников (около 420000 записей) возникла необходимость их удалить штатно  (веб интерфейс) не получилось, с помощью ТП удаляем третий месяц.😁 На вопрос а сколько можно штатно получил ответ:

Изначально не предполагалась работа с большими таблицами (на 400000-500000 записей). На данный момент - это максимум 5000 записей, соответственно, до этого порога и удаление через UI будет работать без проблем. В ближайшее время увеличение данного значения не планируется.

Поэтому и задаю вопрос.

ну то есть вам ответили, что 5000 - это про удобную работу через UI
попробуйте перейти на работу со списком другого типа (не справочником)  
UI SIEM более удобный и быстрый в отношении ТС

При работе с geoip рекомендации создать ТС типа справочник.

справочники суть имеет смысл использовать только если вы туда регулярку пихнули

не нужно так делать, не вывезет

в 24.1 разницы в скорости между справочником и другими типами списков нет
до этого, да, с GeoIP желательно было справочник использовать

Понял, учту, просто странно, что в инструкции по geoip в примере указан импорт 422558 записей.

и чего, вывозило оно доставку справочника geoip?

или "пусть весь мир подождет... установки контента"

вроде да, хоть и долго, но я сейчас уже про старые релизы не скажу по памяти

Добрый день. Подскажите, пожалуйста, сколько нужно времени, чтобы SIEM система идентифицировала актив и автоматически его добавила? Ситуация следующая: есть задачи на сбор событий, события нормализованы, в поле event_src.host и recv_ipv4 фигурирует ip, но спустя время актив с этим адресом мной обнаружен не был. Если же создавать актив вручную и после выбрать пункт меню "найти события", то все работает.

Добрый день. Если вручную актив был создан мгновенно, значит очередь данных на идентификацию активов отсутствует. Тогда и актив из событий должен появиться мгновенно. Но учтите, что не из любого события SIEM умеет делать активы. Для обнаружения активов есть сканирования в режимах Host Discovery, Audit, Pentest

Добрый день! Подскажите, пожалуйста, модуля для сбора логов из SQLite нет, насколько я понимаю? ПО есть, хранит логи в .db файле. FileMonitor такое не умеет вроде, odbc тоже не то

почему odbc не то? Как раз из базы собирает

На основе документации вывод делаю) Не заявлено, вроде как. Если честно - строку подключения не пробовал подсовывать с локальным файлом