Я был в восторге от последнего релиза UniFi Network с поддержкой SIEM. Сейчас очень много случаев, когда логи внутри UniFi сами по себе недостаточно для отслеживания проблемы. Это, впрочем, моя вина. В попытке сделать всё более безопасно, я создал множество VLAN, подключил много устройств и мне нужна обширная запись о том, кто с кем общался и какой был результат.

Так вот... я установил IBM QRadar, Community Edition. Установка на bare metal была непростой. Требовало 24 ГБ оперативной памяти. Я сразу не понравилось. Слишком много продукта. Может быть, для большой корпорации, но не для меня.

Затем я попробовал Azure Sentinel. Думаю, я почти настроил его, но было слишком много компонентов. Локальная VM для syslog, всё для Azure, всякие штуки из Azure Community marketplace. Пришлось разбираться с устаревшей документацией, потому что Microsoft всё отменяла. Не заработало, скорее всего, потому что я не знаю, что делаю.

Похоже, я смогу установить Wazuh. Выглядит достижимо с помощью docker на bare metal. Но, кажется, сложно понять, что именно сваливается в Wazuh из UniFi, так как он не понимает данные нативно.

У кого-нибудь есть рабочее решение UniFi > SIEM?