Elasticsearch

30 January 2026 14:26

без агентная - доставляет не все, что полезно. ИМХО.

Чистить то, что кажется флудом... Опять таки, есть два путя: с ластиком и без. С ластиком - тупо посмотреть каких событий сыпется больше всего, их event ID. Залезть сюда - https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/ Почитать что за событие, зачем нужно, каким аудитом включается. И принять решение: фильтровать ластиком (что бы он не обрабатывал) или выключить аудит. И так по всем Event ID которые в топ 5-10. 🤷‍♂️

Elasticsearch

30 January 2026 14:03

Ну и глобально - так же два путя: 1 настроить аудиты и понять что ни хрена там не понятно и задолбаешься искать, но это реально. И уже тогда поставить эластик. 2 сразу поставить эластик, запихнуть туда все, офигеть от того сколько ресурсов он выжрал и начать фильтровать входные данные.

Тут тема про ластик. И в существе исходного вопроса - он занимает только процентов 30%🤷‍♂️

Elasticsearch

30 January 2026 13:49

Да пишут про 4624 4625 в основном и шедулер и создание процесса 4688

Elasticsearch

30 January 2026 13:37

А есть какой-то бест практис по eventid, для мониторинга конечных хостов?

ИИ предлагает следующий пул id

4624 — Successful Logon
4625 — Failed Logon
4648 — Logon with Explicit Credentials
4720 — User Account Created
4722–4738 — User Account Modified
4672 — Special Privileges Assigned
4688 — New Process Created
4697 — Service Installed
4698 — Scheduled Task Created
1102 — Security Log Cleared

Elasticsearch

30 January 2026 13:32

А как же chat gpt? =)

Elasticsearch

30 January 2026 13:15

Кидать такую простыню в чат вряд ли нормально )

Elasticsearch

30 January 2026 13:13

Можно ли здесь запрашивать работу по обучению и настройке Elasticsearch? У меня есть небольшой проект, нужна помощь в установке и настройке, разумеется с оплатой

Elasticsearch

29 January 2026 16:55

Вариант тормозить всё сборки логов, но там будут ротации файлов 😂 ладно спасибо за ответы, буду думать

Elasticsearch

29 January 2026 16:54

В логстэш параметр инсекьюр на отправку можно добавить, но сам кластер вроде уже к этому моменту должен быть tls

Elasticsearch

29 January 2026 16:48

У меня только логстеш, и приложение, нет агентов

Elasticsearch

29 January 2026 16:45

Возможно агенты начнут хранить у себя логи при переключении кластера в режим обслуживания

Elasticsearch

29 January 2026 16:41

ну так это же временно. взять из горячего/холодного резерва. после перелива - освободить...

Elasticsearch

29 January 2026 16:34

Ну 5 тачек эластика не такое уж большое хозяйство)

Elasticsearch

29 January 2026 16:32

Выглядит все так как будто вам стоит развернуть рядом секьюрный кластер, переключить на него ваши шипперы, а потом долить ваши данные в новый кластер из старого

Elasticsearch

28 January 2026 13:31

Кто знает почему интеграция горит синим и написано Disabled, хотя политика на агенте в статусе Healthy и логи поступают в индекс?

Elasticsearch

30 January 2026 14:04

Спасибо
С подписчиком уже познакомился, мне больше понравилась безагентная доставка событий
Да, у нас тоже есть запрос на "хранить сырые логи"
Но если хранить как можно больше, то пространства не останется да и некоторые события просто флудят, хочется их как-то причесать либо правило переделать, а тут думОть нада

Elasticsearch

30 January 2026 13:57

Вопросик конечно кривой максимально.. что бы эвент айди были в журнале, надо аудиты включить "на конечных точках". Если это домен - 2 путя\момента: серваки и компы. аудиты включать политиками для серверов и отдельно для рабочих станций, на серваках - ИМХО, лучше ставить агентов, с раб станций - лучше забирать лог форвардингом, для этого надо подписку создать и распространить. но некоторые журналы с серваков - проще забрать так же форвардингом.
Начать "про эвент ид" лучше хотя бы с этого. Это про то, что искать в логах. А собирать лучше больше или все. https://habr.com/ru/companies/netwrix/articles/148501/

Если про именно SIEM, легкий на эластик секьюрити - достаточно ставить агента с интеграцией defend. И на "евент коллектор". все придумано до нас. вполне себе сием.. если надо еще и хранить события, что бы можно было разобрать случись чего - это уже чуть больше чем сием. Обычно, у многих вендоров это вообще две разные системы, и хранилище логов - это все равно эластик. 🤷‍♂️

Elasticsearch

30 January 2026 13:45

А если не ии а, тупо, как деды делали, гугОл? 🤣

Elasticsearch

30 January 2026 13:32

Уж с самой базой он явно справится

Elasticsearch

30 January 2026 13:17

Искал на фрилансе - там как-то грустно все с Elastic

Elasticsearch

30 January 2026 13:15

Есть описание на 40 строк, с примерами, параметрами и т.д.

Elasticsearch

30 January 2026 13:11

Всем привет! Правил чата не нашел, если что неправильно напишу - не кидайтесь тапками

Elasticsearch

29 January 2026 16:54

В этом то и проблема. Что надо кластер подготовить и пароли нагенерить

Elasticsearch

29 January 2026 16:49

Спасибо, буду тренироваться на тестовой зоне до автоматизма, ансибл пишу, чтоб не руками править

Elasticsearch

29 January 2026 16:47

смотря какой.. так то если отработвете процедуру, то там ничего сверх неординарного нет.. но какой то будет.. я когда ставил - один управлялся за 4 часа.. 🤷 агенты с интеграциями, например, сами кешируют данные перед отправкой. когда обновлялся крайний раз, простой .. меньше часа.. к потере данных не приводил. а когда на 9.х переходил, пришлось два раза подряд проделать.. часа 3 заняло.. что-то потерялось, но мне не критично. 🤷

Elasticsearch

29 January 2026 16:42

Я как понял задача не реальная? Раз советуют только рядом новый кластер развернуть? Без даунтаума не реально?

Elasticsearch

29 January 2026 16:35

Ну мощностей 0) нет возможности в цоде

Elasticsearch

29 January 2026 16:33

Это не реально 😁 никто мне не даст такой возможности

Elasticsearch

29 January 2026 16:11

Коллеги добрый день, такой вопрос про настройку кластера. Есть кластер из 5 тачек эластика, кибана и логстеш, а ещё приложение пишет напрямую в сам эластик, всё в закрытом контуре и было не секьюрно, теперь появилось закрыть всё доступы паролями и как я понял без тлс на межнодовое общение не обойтись. Решили сразу и https делать. Вопрос такой, реально ли сделать такую работу, чтоб эластик не простаивал по приёму логов? Просто я сейчас тестирую локально, и поймал момент, когда на 1 ноде поставил security true и tls будто бы ноды стали не доступны для подключения, пока весь кластер не засекретил. Может я ошибаюсь, и можно провести такую миграцию без даунтаума. Версия 8.19

Elasticsearch

27 January 2026 18:22

а чем вы это собираете? эластик агент и интеграция? какая интеграция? я беру auditd logs. именно EXECVE у меня нет... 🤔 спасибо за наводку поизучать.. правило вроде шумное и место жрет, но не смертельно.. теперь мне кажется что лучше было бы Auditd Managment.. завтра этим займусь. хотя у нас версии интегрвций могут не совпадать, у меня 9.2.1. у вас 9.2.4.