{"id":31289,"date":"2019-10-31T21:40:29","date_gmt":"2019-10-31T18:40:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows\/"},"modified":"2019-10-31T21:40:29","modified_gmt":"2019-10-31T18:40:29","slug":"chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","title":{"rendered":"Hvad der kan udvindes fra logfilerne p\u00e5 en Windows arbejdsstation","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Den brugerdrevne arbejdsstation er det mest s\u00e5rbare punkt i infrastrukturen, hvad ang\u00e5r informationssikkerhed. Brugere kan modtage en e-mail, der ser ud til at komme fra en sikker kilde, men som indeholder et link til en inficeret hjemmeside. Det er muligt, at nogen downloader et nyttigt v\u00e6rkt\u00f8j fra en ukendt kilde. Man kan finde p\u00e5 mange scenarier, hvor ondsindet software kan tr\u00e6nge ind i interne virksomhedssystemer gennem brugerne. Derfor kr\u00e6ver arbejdsstationer s\u00e6rlig opm\u00e6rksomhed, og i denne artikel vil vi beskrive, hvor og hvilke h\u00e6ndelser man skal hente for at overv\u00e5ge angreb.<\/p>\n

\"Hvad
\n
\n<\/a><\/noindex><\/p>\n

For at identificere et angreb i de tidlige faser er der tre nyttige h\u00e6ndelseskilder i Windows: sikkerhedsh\u00e6ndelsesloggen, systemoverv\u00e5gningsloggen og PowerShell-loggene.<\/p>\n

Sikkerhedsh\u00e6ndelsesloggen (Security Log)<\/h2>\n

\nDette er det prim\u00e6re sted for opbevaring af sikkerhedslogfiler. Her opbevares h\u00e6ndelser om brugerlogin\/logout, adgang til objekter, \u00e6ndringer i politikker og andre aktiviteter relateret til sikkerhed. Selvf\u00f8lgelig, hvis den relevante politik er konfigureret.<\/p>\n

\"Hvad
\n
\nBrugere og grupper gennems\u00f8gning (h\u00e6ndelser 4798 og 4799).<\/b> Ondsindet software starter ofte angrebet med at gennems\u00f8ge lokale brugerkonti og grupper p\u00e5 arbejdsstationen for at finde legitimationsoplysninger til sine ulovlige aktiviteter. Disse h\u00e6ndelser kan hj\u00e6lpe med at opdage ondsindet kode f\u00f8r den bev\u00e6ger sig videre og spreder sig til andre systemer ved hj\u00e6lp af indsamlede data.<\/p>\n

Oprettelse af en lokal konto og \u00e6ndringer i lokale grupper (h\u00e6ndelser 4720, 4722\u20134726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 og 5377).<\/b> Et angreb kan ogs\u00e5 starte med for eksempel at tilf\u00f8je en ny bruger til gruppen af lokale administratorer.<\/p>\n

Fors\u00f8g p\u00e5 login med lokal konto (h\u00e6ndelse 4624).<\/b> Ordentlige brugere logger ind med en dom\u00e6nekonto, og identifikation af login med en lokal konto kan betyde, at et angreb er ved at begynde. H\u00e6ndelse 4624 inkluderer ogs\u00e5 indlogninger med dom\u00e6nekonti, s\u00e5 h\u00e6ndelserne skal filtreres, s\u00e5 de, hvor dom\u00e6net adskiller sig fra arbejdsstationens navn, ekskluderes.<\/p>\n

Fors\u00f8g p\u00e5 login med en bestemt konto (h\u00e6ndelse 4648).<\/b> Dette kan ske, n\u00e5r processen k\u00f8rer i \"K\u00f8r som\"-tilstand. I normal drift b\u00f8r s\u00e5danne situationer ikke forekomme, s\u00e5 disse h\u00e6ndelser b\u00f8r v\u00e6re under kontrol.<\/p>\n

L\u00e5sning\/l\u00e5sning af arbejdsstation (h\u00e6ndelser 4800-4803).<\/b> Enhver aktivitet, der fandt sted p\u00e5 en l\u00e5st arbejdsstation, kan betragtes som mist\u00e6nkelig.<\/p>\n

\u00c6ndringer i firewallkonfigurationen (h\u00e6ndelser 4944-4958).<\/b> Det er tydeligt, at n\u00e5r nyt software installeres, kan firewallkonfigurationens indstillinger \u00e6ndre sig, hvilket kan f\u00f8re til falske alarmer. Det er i de fleste tilf\u00e6lde ikke n\u00f8dvendigt at overv\u00e5ge s\u00e5danne \u00e6ndringer, men det kan v\u00e6re nyttigt at vide om dem.<\/p>\n

Tilslutning af Plug'n'Play-enheder (h\u00e6ndelse 6416 og kun for Windows 10).<\/b> Dette er vigtigt at holde \u00f8je med, hvis brugere normalt ikke tilslutter nye enheder til arbejdsstationen, og pludselig g\u00f8r det.<\/p>\n

Windows indeholder 9 kategorier af revision og 50 underkategorier til finjustering. Det minimale s\u00e6t af underkategorier, der b\u00f8r aktiveres i indstillingerne:<\/p>\n

Logon\/Logoff<\/b><\/p>\n