Microsoft Windows PowerShell: настройка источника

Данное руководство описывает процесс настройки сбора событий Microsoft Windows PowerShell и их отправки в R-Vision SIEM.

Предварительные требования

Перед началом настройки убедитесь, что выполнены следующие условия:

На машине, с которой планируется сбор событий, установлен агент R-Vision EVO Endpoint.
Агент находится в активном состоянии и успешно подключен к R-Vision SIEM.
Пользователь, выполняющий настройку, имеет права администратора локальной машины.
Система работает под управлением Microsoft Windows с установленным Microsoft Windows PowerShell.

В настоящем руководстве рассматривается передача событий с помощью продукта R-Vision Endpoint.

Настройте групповую политику (GPO):

В веб-интерфейсе R-Vision SIEM перейдите в раздел Агенты → Группы агентов.
Создайте группу Windows PowerShell или добавьте следующую конфигурацию в существующую группу:
- Тип журнала: eventfile.
- Путь: C:\Windows\System32\winevt\Logs\Microsoft-Windows-PowerShell%4Operational.evtx.
- Фильтр (формат XPATH): *.
Нажмите на кнопку Сохранить.
Перейдите на вкладку Агенты.
Нажмите на узел, на котором установлен агент.
В открывшемся окне нажмите на кнопку и выберите пункт Добавить в группу.
В появившемся окне найдите настроенную группу и нажмите на кнопку Добавить.
Дождитесь применения политики группы на узле.

Сбор событий настроен.

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант R-Vision Endpoint.
- Порт точки входа: введите значение в соответствии с настройками на стороне сервера.
- Протокол: выберите вариант в соответствии с настройками на стороне сервера.
Добавьте на конвейер элемент Нормализатор с правилом Microsoft Windows PowerShell (идентификатор правила: RV-N-218).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

microsoft windows pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Microsoft Windows PowerShell.

Найти события Microsoft Windows PowerShell в хранилище можно по следующему фильтру:

normalization_rule_name = "Microsoft Windows PowerShell"

Была ли полезна эта страница?