Приветствую! Тайгер Оптикс (мы) — дистрибьютор Tenable в России.

Буду рад помочь по вопросам
io@tiger-optics.ru

Подскажите кто нибудь пробовал FortiSOAR?

огромного опыта не было....ранее это был продукт CyberSponse (индусы), а в конце прошлого года фортик их выкупил...интеграций (коннекторов) с другими системами/устройствами/платформами достаточное количество...что-то конкретное интересует?

Привет, хотелось бы услышать разные мнения. Есть два стула:
1. Определить для себя скоуп данных, по которым хотелось бы искать в siem и дорабатывать по своему усмотрению этот список, добавляя новые источники информации. Тут я вижу проблему в том, что в случае возникновения новых типов атак или изменения профиля старых у нас будут слепые пятна.
2. Собираем все, что можем и потом уже занимаемся исключением по тому, что сочтем ненужным. Мне интуитивно кажется, что в таком случае мы имеем меньше слепых пятен, так как даже предполагая, что какой-то источник информации нам нужен и не убирая его, даже "на всякий случай", повышаем шансы заметить определенную атаку.

Этот вопрос тут поднимается уже 3 раз :)

@yugoslavskiy Не хочешь на этот счет сделать заметку или статью?

Загляните к ребятам в проект https://github.com/atc-project/atomic-threat-coverage

Наверное 2 и тогда вы сможете видеть аномалии и возможно новые атаки

второй способ ущербный по-дефолту. имхо

case-by-case

расскажите это при Threat Hunting-е

Вы собираете 30% всех возможных событий и инфраструктуре и 75% всех событий в инфраструктуре, при этом в обоих случаях вы обрабатываете 5% событий. В какой ситуации защищённость выше?

В последний раз, когда тут спорили по данному вопросу, однозначного ответа не нашлось )

да вот мы вплотную полошли к тому чтобы составить классификацию необходимых данных с привязкой к Threat Detection и Incident Response. все время к этому шли, и вот уже почти пришли

есть разные проекты которые вроде как классифицируют эти вещи, но за этой оценкой ничего не стоит

а мы хотим чтобы чекто было, как-то так (диалог безопасника и админа):

"а нафига тебе process execution лог?"
"а вот":

- список Sigma правил
- список Response Actions

да нашелся он на самом деле, и спорить особо нечего

В той когда за клавиатурой сидит не овощ

те кто об этом спорят просто никогда на самом деле не пробовали собрать все и засунуть в процессиннг

один раз попробуешь, больше спорить не будешь