Microsoft Active Directory Certificate Services (AD CS): настройка источника

Данное руководство описывает процесс отправки событий из журнала Windows Certification Authority в R-Vision SIEM с помощью продукта R-Vision EVO.

Предварительные требования

Перед настройкой пересылки событий в R-Vision SIEM убедитесь, что выполняются следующие условия:

На машине, с которой планируется сбор событий, установлен агент R-Vision EVO.
Агент находится в активном состоянии и успешно подключен к R-Vision SIEM.
Пользователь, выполняющий настройку, имеет права администратора локальной машины.
Система работает под управлением Microsoft Windows Server с установленной и настроенной ролью Active Directory Certificate Services (AD CS).

Настройка Microsoft Windows Certification Authority

В данном разделе описана настройка сбора событий журнала Windows Certification Authority с помощью агента R-Vision EVO. Процесс включает следующие этапы:

Настройка аудита
Установка и подключение агента R-Vision EVO
Настройка политики сбора событий в R-Vision SIEM

Настройка аудита

События аудита роли AD CS фиксируются в общем системном журнале операционной системы, поэтому для их сбора требуется настроить мониторинг журнала Security.

Чтобы события появлялись в журнале Security, необходимо включить аудит в настройках Windows, а также аудит самой роли AD CS.

Настройте групповую политику (GPO). Для этого выполните следующие шаги:

Нажмите комбинацию клавиш WIN+R.
Введите команду:
```
gpedit.msc
```
Нажмите на кнопку OK.
В открывшемся окне перейдите в раздел Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration → Local Policies → Audit Policy.
Включите следующие политики, выбрав опцию Success:
- Audit Logon;
- Audit Other Logon/Logoff Events;
- Audit Credential Validation.
Для событий AD CS перейдите в раздел Audit Object Access и включите следующие политики, выбрав опции Success и Failure:
- Audit Certification Services;
- Audit Application Generated;
- Audit Other Object Access Events.
После внесения изменений выполните команду:
```
gpupdate /force
```

Настройте аудит роли AD CS. Для этого выполните следующие шаги:

Нажмите комбинацию клавиш WIN+R.
Введите команду:
```
certsrv.msc
```
Нажмите на кнопку OK.
Выберите в дереве объектов центр сертификации (CA), откройте его контекстное меню и нажмите на пункт Properties.
В открывшемся окне перейдите на вкладку Auditing.
Установите флажки напротив следующих пунктов:
- Start and Stop Certificate Services;
- Backup and Restore;
- Issue and Manage Certificate Requests;
- Revoke Certificates;
- Change CA Configuration;
- Store and Retrieve Archived Keys;
- Change CA Security Settings.
Перезапустите службу:
```
net stop certsvc
net start certsvc
```

Установка и подключение агента R-Vision EVO

Установите агент R-Vision EVO на целевой хост, следуя официальной инструкции.

После установки настройте подключение агента к менеджеру агентов R-Vision SIEM в соответствии с инструкцией.

Настройка политики сбора событий в R-Vision SIEM

Для сбора событий журнала Security создайте политику сбора и добавьте в нее требуемый узел. Информацию о работе с группами агентов можно найти в инструкции по настройке групп.

Чтобы настроить сбор событий из журнала Security, выполните следующие шаги:

Перейдите к настройке нужной группы агентов.
Убедитесь, что переключатель Чтение файлов установлен в активное положение.
Добавьте новый элемент:
- Тип журнала: выберите вариант eventchannel.
- Имя журнала: введите значение Security.
- Фильтр (формат XPath):
  - Для сбора всех событий укажите символ *.
  - Для сбора конкретных событий задайте XPath-фильтр.
    
    Информацию о формировании корректных XPath-фильтров можно найти в документации по синтаксису XPath.

Пример конфигурации:

microsoft evo windows security

Настройка в R-Vision SIEM

Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:

В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
Добавьте на конвейер элемент Точка входа со следующими параметрами:
- Название: введите название точки входа.
- Тип точки входа: выберите вариант R-Vision Endpoint.
- Домен: введите значение gw-<your_gateway_id>, где <your_gateway_id> — ID вашего шлюза.
Добавьте на конвейер элемент Нормализатор с правилом для нормализации событий журнала Microsoft Windows Security (идентификатор правила: RV-N-222).
Соедините нормализатор с точкой входа.
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
Соедините конечную точку с нормализатором.
Сохраните и установите конфигурацию конвейера.

Пример конфигурации конвейера:

microsoft windows pipeline

После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Microsoft Active Directory Certificate Services.

Найти события Microsoft Active Directory Certificate Services в хранилище можно по следующему фильтру:

normalization_rule_name = "Microsoft Windows Security"

Была ли полезна эта страница?

Обратная связь