Я запустил whoami из 1С, а SIEM промолчала. Как ловить выполнение кода через внешние обработки
Открываю внешнюю обработку в 1С. Нажимаю кнопку. В окне появляется ws01\wc01 . Это whoami , выполненный из обычной обработки .epf . Уязвимости тут нет, так устроена платформа. Меня интересовало другое: увидит ли это SOC. База на стенде файловая и работает на рабочей станции; что меняется на сервере 1С, расскажу ниже. Иду в журнал регистрации 1С. Пусто: ни открытия обработки, ни запуска команды. Только пара транзакций Begin / Commit . Иду в SIEM. Тоже пусто: правил под это нет ни у меня, ни, скорее всего, у вас. Как это поймать