подскажите средства сбора и анализа логов

[e1am0]

Интересует субж enterprise уровня для виндов с сиськами в первую очередь, должно снимать журналы, как-то синхронизировать, анализировать, искать корреляции и аномалии. Какие есть продукты с подобной функциональностью, на какие ключевые слова может отозваться гугль? Или же сейчас можно применять другие подходы к контролю за происходящим в ИТ

Comments

[ex_ivlad]

Посмотри на Splunk, ArcSite, rsa envision.

[e1am0]

спасибо. я вот только с ArcSite не очень понял - у нас продаёт кто-нибудь?

[ex_ivlad]

Техносерв, кажется.

[touzoku]

Из опыта у кого что внедрено АркСайт популярен.

Информзащита и продает, и внедряет. Позвони 980-23-45.

[_slw]

mars?

[e1am0]

мне бы подробнее :) а то можно подумать про шикалатки

[ex_ivlad]

"Cisco announces the end-of-sale and end-of life dates for the Cisco Security Monitoring, Analysis, and Response System. The last day to order the affected product(s) is June 3, 2011."

[e1am0]

вах. так и не успел попробовать :)

[ext_635925]

Ключевое слово - SIEM.

[e1am0]

спасибо, занырнул

[touzoku]

МаксПатрол в качестве системы сбора логов не катит, к сожалению. Плюшка с контролем целостности у него есть, но если это бизнес-задача (а не "чтобы было"), то я бы рекомендовал что-нибудь посолидней вроде Tripwire. Если же МаксПатрол уже развернут, то эту фишку там легко прикрутить, но она не так часто будет работать, как в системах с агентами на ОС.

Если хочется все по-коммунистически бесплатно сделать, рекомендую OSSEC в качестве SIEM, его же в качестве контроля целостности или Samhain. Внедрить тоже можем, если надо, но тут уже придется платить. Самое сложное - это понять какие записи в логах важны, а какие нет, это мы тоже можем, кстати.

[e1am0]

я пока просто сориентироваться в этой теме. задача пока туманно обрисована, а про патрол у лукацкого прочитал и зацепился глазом за контроль изменений, просто не очень понял, как он организован

[touzoku]

Ну макспатрол периодически сканит то, что ему скажешь. Заодно и проверяет файлы на предмет изменения содержимого (путем сравнивания хэшей). Так и работают все системы контроля целостностей. Просто MP удаленно это делает, т.е. логинится на тачку и шевелит там скриптики, а обычные решения, как правило, агента своего держат в операционке, который это локально выполняет каждую минуту, скажем.

[e1am0]

т.е. получается, что есть некий промежуток, когда можно поменять, а потом вернуть взад как было...
спасибо

[pagurian]

Не упомянули Symantec SIM и Q1 labs.

Ну и как классический кулик, рекомендую повнимательнее посмотреть на RSA enVision
На английском - http://www.rsa.com/node.aspx?id=3170
На русском - http://www.demos.ru/security/network_management/
и http://www.demos.ru/security/security_lib/security_lib_page.html
Если что - в личку, либо комментарием.