Chỉnh timechart panel có width =70% và stats panel có width = 30%
Kết quả:
Cách thức:
* thông qua Edit Source của Dashboard (sub url /editxml).
* 1) Gán id cho tất cả panel của row cần hiệu chỉnh width
Từ các <panel> thành <panel id="panel1"> .... </panel> <panel id="panel2">...<panel>
* 2) Bổ sung 1 panel logic $alwaysHideCSS$ mới:
<panel depends="$alwaysHideCSS$">
<html>
<style>
#panel1{
width:70% !important;
}
#panel2{
width:30% !important;
}
</style>
</html>
</panel>
Giới hạn việc deliver email gồm 2 thông số:
smtpd_client_message_rate_limit
The maximal number of message delivery requests that any client is allowed to make to this service per time unit, regardless of whether or not Postfix actually accepts those messages. The time unit is specified with the anvil_rate_time_unit configuration parameter.
By default, a client can send as many message delivery requests per time unit as Postfix can accept.
To disable this feature, specify a limit of 0.
WARNING: The purpose of this feature is to limit abuse. It must not be used to regulate legitimate mail traffic.
This feature is available in Postfix 2.2 and later.
Example:
smtpd_client_message_rate_limit = 1000
anvil_rate_time_unit (default: 60s)
The time unit over which client connection rates and other rates are calculated.
This feature is implemented by the anvil(8) service which is available in Postfix version 2.2 and later.
The default interval is relatively short. Because of the high frequency of updates, the anvil(8) server uses volatile memory only. Thus, information is lost whenever the process terminates.
Specify a non-zero time value (an integral value plus an optional one-letter suffix that specifies the time unit). Time units: s (seconds), m (minutes), h (hours), d (days), w (weeks). The default time unit is s (seconds).
(Trích từ https://www.postfix.org/postconf.5.html)
=> Để tối ưu cho việc gửi mail, có lẽ nên thiết lập tốc độ gửi = 2-5 emails/phút do MS 365 kiểm soát, giới hạn gửi mail từ 1 IP cố định. Và có lẽ nên setup time unit theo phút, hơn là 3600s // 1 giờ.
smtpd_client_message_rate_limit = 5
anvil_rate_time_unit = 60
Windows Event Logs có rất nhiều audit // security data được ghi nhận.
Do đó để tránh nhiễu do quá nhiều log, cũng là giải quyết vấn đề log rác hoặc log trùng, cần phải blacklist 1 số events.
VD: Windows Firewall events có EventCode=5156 liên quan đến DNS traffic và kết nối 1 số internal web sites cụ thể. Rõ ràng đây là những events thừa thãi, không cần thiết. Hay hơn nữa, cần lưu được query domain name trong dns logs, hơn là log ghi nhận dns traffic. Xem thông tin 1 event 5156 trên Windows:
Có lý do nào đó mà CTO MS (Mark Russinovich) tạo ra sysmon để audit/monitor Windows instances. Mình cũng tập tài cài, collect lưu về SIEM. MS Windows cũng đã có log nên hiển nhiên 1 số events sẽ trùng lắp:
* EventCode=4688 của Wineventlog và EventCode=1 của Sysmon. Các events lệch nhau 1 chút, khoảng 1 2 giây tối đa.
Sysmon đã bổ sung lưu cả parameters của 1 process command line (Wineventlog thì không) nên chiếu theo luật log thừa, có lẽ sẽ nên blacklist các events 4688 và 4689. 1 eventcode=1 của sysmon thường có thông tin như sau:
............... UtcTime: 2021-10-11 08:55:31.791 ProcessGuid: {BE5D7639-FC03-6163-5B75-030000001400} ProcessId: 4396 Image: C:\Windows\System32\reg.exe FileVersion: 10.0.14393.0 (rs1_release.160715-1616) Description: Registry Console Tool Product: Microsoft® Windows® Operating System Company: Microsoft Corporation OriginalFileName: reg.exe CommandLine: reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{F0C3E5D1-1ADE-321E-8167-68EF0DE699A5}.KB982573" CurrentDirectory: C:\Windows\system32\ User: NT AUTHORITY\SYSTEM LogonGuid: {BE5D7639-BBCE-6149-E703-000000000000} LogonId: 0x3E7 TerminalSessionId: 0 IntegrityLevel: System Hashes: MD5=59A22FA6CF85026BB6BC69A1ADD75C50,SHA256=9E28034CE3AEEA6951F790F8997DF44CFBF80BEFF9FB17413DBA317016A716AD,IMPHASH=EE7EB7FA7D163340753B7223ADA14352 ..........
Đã tin tưởng Sysinternals tools, cộng với việc Sysmon sẽ làm được nhiều trò trống, nhất là việc mon//giám sát. Nên quyết định chiến với sysmon thôi.
Happy monitoring!!!
The service seems promising and may be easy to be use. I spent just <5 minutes for registration & saw the following GUI:
But there are lots of things to be done for security monitoring purposes, e.g. correlations, alerts, I guess. So we may have a look at its supported destination, GCP Logging later.
Updated at 11:46 PM:
GCP Logging https://cloud.google.com/logging & Logs Explorer are not so good as expected.
https://console.cloud.google.com/logs/query
Query:
logName="projects/quickstart-1602463953025/logs/windows.event"-jsonPayload.message="The system failed to register host (A or AAAA) resource records (RRs) for network adapter\r\nwith settings:"-jsonPayload.message="7021 - Connection telemetry fields and analysis usage"
"They tried for months with several solutions to surface real time insight—with Splunk it was working in one week and are using threshold-based alerting to support proactive customer engagement."