{"id":31289,"date":"2019-10-31T21:40:29","date_gmt":"2019-10-31T18:40:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows\/"},"modified":"2019-10-31T21:40:29","modified_gmt":"2019-10-31T18:40:29","slug":"chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","title":{"rendered":"Was kann man N\u00fctzliches aus den Protokollen einer Arbeitsstation auf Windows-Basis herausziehen?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Der Benutzerarbeitsplatz ist der anf\u00e4lligste Punkt in der Infrastruktur in Bezug auf Informationssicherheit. Nutzer k\u00f6nnten eine E-Mail auf ihrer Arbeitsadresse erhalten, die scheinbar aus einer sicheren Quelle stammt, aber einen Link zu einer infizierten Website enth\u00e4lt. M\u00f6glicherweise l\u00e4dt jemand ein n\u00fctzliches Tool von einem unbekannten Ort herunter. Man kann eine Vielzahl von Szenarien entwickeln, in denen b\u00f6sartige Software durch die Nutzer in interne Unternehmensressourcen eindringen kann. Daher erfordern Arbeitsstationen besondere Aufmerksamkeit, und in diesem Artikel werden wir erl\u00e4utern, woher und welche Ereignisse zur \u00dcberwachung von Angriffen herangezogen werden k\u00f6nnen.<\/p>\n

\"Was
\n
\n<\/a><\/noindex><\/p>\n

Um einen Angriff in der fr\u00fchesten Phase zu erkennen, gibt es in Windows drei n\u00fctzliche Ereignisquellen: das Sicherheitsereignisprotokoll, das System\u00fcberwachungsprotokoll und die PowerShell-Protokolle.<\/p>\n

Sicherheitsprotokoll (Security Log)<\/h2>\n

\nDies ist der Hauptspeicherort f\u00fcr systemrelevante Sicherheitsprotokolle. Hier werden Anmelde- und Abmeldeereignisse von Benutzern, Zugriffsereignisse auf Objekte, \u00c4nderungen von Richtlinien und andere sicherheitsrelevante Aktivit\u00e4ten gespeichert. Vorausgesetzt, die entsprechende Richtlinie ist eingerichtet.<\/p>\n

\"Was
\n
\nBenutzer- und Gruppenabruf (Ereignisse 4798 und 4799).<\/b> B\u00f6sartige Software versucht zu Beginn eines Angriffs oft, lokale Benutzerkonten und lokale Gruppen auf der Arbeitsstation abzurufen, um Zugangsdaten f\u00fcr ihre dunklen Gesch\u00e4fte zu finden. Diese Ereignisse helfen dabei, b\u00f6sartigen Code fr\u00fcher zu entdecken, als dieser weiter vordringt und, basierend auf den gesammelten Daten, auf andere Systeme verbreitet wird.<\/p>\n

Erstellung eines lokalen Benutzerkontos und \u00c4nderungen in lokalen Gruppen (Ereignisse 4720, 4722\u20134726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 und 5377).<\/b> Ein Angriff kann beispielsweise auch mit der Hinzuf\u00fcgung eines neuen Benutzers zur Gruppe der lokalen Administratoren beginnen.<\/p>\n

Versuche, sich mit einem lokalen Benutzerkonto anzumelden (Ereignis 4624).<\/b> Ordentliche Benutzer melden sich mit einem Dom\u00e4nenbenutzerkonto an, und das Erkennen eines Logins unter einem lokalen Benutzerkonto kann den Beginn eines Angriffs bedeuten. Ereignis 4624 umfasst auch Anmeldungen unter Dom\u00e4nenkonten, weshalb bei der Verarbeitung der Ereignisse gefiltert werden sollte, dass der Dom\u00e4nenname nicht vom Namen der Arbeitsstation abweicht.<\/p>\n

Versuch, sich mit einem angegebenen Benutzerkonto anzumelden (Ereignis 4648).<\/b> Dies geschieht, wenn der Prozess im Modus \u201eAls Administrator ausf\u00fchren\u201c (run as) ausgef\u00fchrt wird. Im normalen Betriebsmodus sollte dies nicht der Fall sein, daher m\u00fcssen solche Ereignisse \u00fcberwacht werden.<\/p>\n

Sperren\/Entsperren der Arbeitsstation (Ereignisse 4800-4803).<\/b> Zu den verd\u00e4chtigen Ereignissen z\u00e4hlen alle Aktionen, die auf einer gesperrten Arbeitsstation durchgef\u00fchrt wurden.<\/p>\n

\u00c4nderungen an der Firewall-Konfiguration (Ereignisse 4944-4958).<\/b> Offensichtlich k\u00f6nnen sich bei der Installation neuer Software die Einstellungen der Firewall-Konfiguration \u00e4ndern, was zu Fehlalarmen f\u00fchren kann. In den meisten F\u00e4llen ist eine \u00dcberwachung solcher \u00c4nderungen nicht notwendig, aber es schadet nicht, dar\u00fcber informiert zu sein.<\/p>\n

Anschluss von Plug\u2019n\u2019Play-Ger\u00e4ten (Ereignis 6416 und nur f\u00fcr Windows 10).<\/b> Das ist wichtig zu beobachten, wenn Benutzer normalerweise keine neuen Ger\u00e4te an der Arbeitsstation anschlie\u00dfen, und pl\u00f6tzlich doch \u2014 und sie angeschlossen haben.<\/p>\n

Windows umfasst 9 Kategorien der \u00dcberwachung und 50 Unterkategorien f\u00fcr eine feine Anpassung. Das minimale Set an Unterkategorien, das in den Einstellungen aktiviert werden sollte, lautet:<\/p>\n

Anmeldung\/Abmeldung<\/b><\/p>\n