Спроектуйте модель кореляції подій між SIEM (Splunk) та сирими логами IIS для автоматичного підтвердження інцидентів.

Question

Answer

Сирі логи IIS надсилаються у SIEM виключно у вигляді скріншотів, які розпізнаються за допомогою OCR-модуля

Answer

SIEM автоматично видаляє сирі логи IIS після створення алерту для запобігання переповнення дискового простору

Answer

SIEM генерує алерт за сигнатурою, автоматично запитує FREB/W3C лог за `c-ip` та часом, аналізує відповідь та підтверджує компрометацію

Answer

Кореляція здійснюється шляхом випадкового вибору 10 записів із логу доступу та їх порівняння з базою даних

Crowdly