Microsoft Windows Security: настройка источника
Данное руководство описывает процесс отправки событий из журнала Windows Security в R-Vision SIEM с помощью продукта R-Vision Endpoint.
Настройка Microsoft Windows Security
В данном разделе описана настройка сбора событий журнала Windows Security с помощью агента R-Vision Endpoint. Процесс включает следующие этапы:
Настройка сбора событий Microsoft Windows Security
Чтобы события появлялись в журнале Security, необходимо включить аудит в настройках Windows. Политику можно применить:
-
через GPO (рекомендуется для домена);
-
локально для отдельных хостов (не рекомендуется для масштабного использования).
Настройка через доменные политики
Предварительные требования
-
Ваша Windows-машина должна быть включена в домен.
-
Ваша учетная запись должна обладать правами администратора домена (
Domain Admin). -
Должны быть включены параметры аудита.
Настройка сбора событий Microsoft Windows
Чтобы настроить сбор событий Microsoft Windows, выполните следующие шаги:
-
Откройте консоль Group Policy Management.
-
Создайте новую GPO или отредактируйте существующую.
-
Перейдите в раздел Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration.
-
Включите необходимые параметры аудита.
-
Привяжите политику к нужному OU (Organizational Unit).
-
Дождитесь применения политики на хостах или выполните команду
gpupdate /force.
Настройка через локальные политики
Предварительные требования
-
Ваша учетная запись должна обладать правами локального администратора.
-
Должны быть включены параметры аудита, необходимые для сбора событий.
Настройка сбора событий Microsoft Windows
Чтобы настроить сбор событий Microsoft Windows, выполните следующие шаги:
-
Откройте консоль Local Security Policy, используя команду
secpol.msc. -
Перейдите в раздел Local Policies → Audit Policy или Advanced Audit Policy Configuration.
-
Включите необходимые параметры аудита (
успех/отказ). -
Примените изменения.
-
Обновите политики командой
gpupdate /forceили перезагрузите хост.
Настройка параметров аудита
В групповой политике устройства включите следующие параметры.
-
Аудит событий:
-
Аудит входа в систему:
успех,отказ. -
Аудит доступа к объектам:
успех. -
Аудит доступа к службам каталогов:
успех. -
Аудит изменения политики:
успех. -
Аудит использования привилегий:
успех. -
Аудит отслеживания процессов:
успех. -
Аудит системных событий:
успех. -
Аудит событий входа в систему:
успех,отказ. -
Аудит управления учетными записями:
успех,отказ.
-
-
Расширенный аудит событий:
-
Проверка учетных данных аудита:
успех,отказ. -
Аудит управления учетными записями компьютера:
успех,отказ. -
Аудит управления группами безопасности:
успех,отказ. -
Аудит управления учетными записями пользователей:
успех,отказ. -
Аудит изменений службы каталогов:
успех,отказ. -
Расширение системы безопасности аудита:
успех,отказ. -
Аудит доступа к службе каталогов:
успех,отказ.Для корректного сбора событий Аудит доступа к службе каталогов требуется дополнительная настройка прав доступа к объектам Active Directory. Настройте права согласно официальной инструкции Microsoft. Пример включения одного из параметров аудита:
-
Установка и подключение агента R-Vision Endpoint
Установите агент R-Vision Endpoint на целевой хост, следуя официальной инструкции.
После установки настройте подключение агента к менеджеру агентов R-Vision SIEM в соответствии с инструкцией.
Настройка в R-Vision SIEM
Настройка отправки событий в R-Vision SIEM
Чтобы настроить отправку событий из журнала Security, выполните следующие шаги:
-
В веб-интерфейсе R-Vision SIEM перейдите в раздел Агенты → Группы агентов.
-
Создайте группу и добавьте в нее узел, на котором установлен агент.
-
В созданной группе узлов в секции Чтение файлов нажмите на кнопку Добавить настройку (
). -
В выпадающем списке Тип журнала выберите вариант eventchannel.
-
В поле Имя журнала введите значение
Security. -
Для сбора всех событий укажите в поле Фильтр (формат XPath) символ
*.Пример конфигурации:
Для снижения объема передаваемых в R-Vision SIEM событий и нагрузки на инфраструктуру можно использовать фильтр XPath.
Использование данного фильтра ограничивает перечень передаваемых в R-Vision SIEM событий. События, не включенные в фильтр, не будут поступать в SIEM и не смогут использоваться для анализа, расследования инцидентов и других задач. Перед применением фильтра рекомендуется убедиться, что исключаемые события не требуются для реализации собственных правил корреляции, мониторинга или других сценариев использования SIEM.
Ниже приведен пример фильтра, который выбирает события, используемые правилами корреляции R-Vision SIEM:
*[System[(EventID=634 or EventID=1102 or EventID=4622 or EventID=4624 or EventID=4625 or EventID=4656 or EventID=4657 or EventID=4662 or EventID=4663 or EventID=4670 or EventID=4688 or EventID=4689 or EventID=4697 or EventID=4698 or EventID=4699 or EventID=4702 or EventID=4706 or EventID=4716 or EventID=4719 or EventID=4720 or EventID=4722 or EventID=4723 or EventID=4724 or EventID=4725 or EventID=4726 or EventID=4728 or EventID=4730 or EventID=4732 or EventID=4738 or EventID=4740 or EventID=4741 or EventID=4742 or EventID=4743 or EventID=4756 or EventID=4768 or EventID=4769 or EventID=4771 or EventID=4776 or EventID=4778 or EventID=4779 or EventID=4781 or EventID=4793 or EventID=4886 or EventID=4887 or EventID=4898 or EventID=4929 or EventID=5136 or EventID=5137 or EventID=5140 or EventID=5145 or EventID=5156 or EventID=6416)]]
-
Нажмите на кнопку Сохранить.
-
Дождитесь применения политики группы на узле.
Настройка обработки событий в R-Vision SIEM
Для настройки сбора и нормализации событий источника в R-Vision SIEM выполните следующие шаги:
-
В интерфейсе R-Vision SIEM создайте новый конвейер в коллекторе.
-
Добавьте на конвейер элемент Точка входа со следующими параметрами:
-
Название: введите название точки входа.
-
Тип точки входа: выберите вариант R-Vision Endpoint.
-
Домен: введите значение
gw-<your_gateway_id>, где<your_gateway_id>— ID вашего шлюза.
-
-
Добавьте на конвейер элемент Нормализатор с правилом для нормализации событий журнала Microsoft Windows Security (идентификатор правила: RV-N-222).
-
Соедините нормализатор с точкой входа.
-
Добавьте на конвейер элемент Конечная точка типа Хранилище событий.
-
Соедините конечную точку с нормализатором.
-
Сохраните и установите конфигурацию конвейера.
Пример конфигурации конвейера:
После настройки передачи событий, если настройка выполнена корректно, в хранилище начнут поступать события Microsoft Windows Security.
|
Найти события Microsoft Windows Security в хранилище можно по следующему фильтру:
|
Была ли полезна эта страница?
