{"id":31289,"date":"2019-10-31T21:40:29","date_gmt":"2019-10-31T18:40:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows\/"},"modified":"2019-10-31T21:40:29","modified_gmt":"2019-10-31T18:40:29","slug":"chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","title":{"rendered":"Welche n\u00fctzlichen Informationen lassen sich aus den Protokollen von Windows-Workstations ziehen?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Benutzer-Workstation ist der anf\u00e4lligste Punkt der Infrastruktur in Bezug auf Informationssicherheit. Benutzer k\u00f6nnen E-Mails erhalten, die scheinbar aus sicheren Quellen stammen, jedoch Links zu infizierten Websites enthalten. M\u00f6glicherweise l\u00e4dt jemand eine n\u00fctzliche Software aus unbekannter Quelle herunter. Man k\u00f6nnte zahlreiche Szenarien entwerfen, wie schadhafte Software \u00fcber Benutzer in Unternehmensressourcen eindringen kann. Daher erfordern Workstations besondere Aufmerksamkeit. In diesem Artikel werden wir erl\u00e4utern, welche Ereignisse zur \u00dcberwachung von Angriffen relevant sind und woher man sie bezieht.<\/p>\n

\"Welche
\n
\n<\/a><\/noindex><\/p>\n

Um Angriffe in der fr\u00fchesten Phase zu erkennen, gibt es in Windows drei n\u00fctzliche Ereignisquellen: das Sicherheitsereignisprotokoll, das Systemprotokoll und die PowerShell-Protokolle.<\/p>\n

Sicherheitsereignisprotokoll (Security Log)<\/h2>\n

\nDies ist der zentrale Speicherort f\u00fcr Sicherheitsprotokolle. Hier werden Ereignisse zu Benutzeranmeldungen\/-abmeldungen, Objektzugriff, \u00c4nderung von Richtlinien und anderen sicherheitsrelevanten Aktivit\u00e4ten aufgezeichnet. Selbstverst\u00e4ndlich, vorausgesetzt, die entsprechende Richtlinie ist konfiguriert.<\/p>\n

\"Welche
\n
\nDurchsuchung von Benutzern und Gruppen (Ereignisse 4798 und 4799).<\/b> Schadhafter Code durchsucht zu Beginn eines Angriffs oft lokale Benutzerkonten und Gruppen auf dem Arbeitsplatz, um Anmeldeinformationen f\u00fcr seine dunklen Machenschaften zu finden. Diese Ereignisse helfen, sch\u00e4dlichen Code fr\u00fcher zu erkennen, bevor er weiter vordringt und sich mittels der gesammelten Daten auf andere Systeme ausbreitet.<\/p>\n

Erstellung eines lokalen Benutzerkontos und \u00c4nderungen in lokalen Gruppen (Ereignisse 4720, 4722\u20134726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 und 5377).<\/b> Ein Angriff kann beispielsweise auch mit der Hinzuf\u00fcgung eines neuen Benutzers zur Gruppe der lokalen Administratoren beginnen.<\/p>\n

Versuche der Anmeldung mit einem lokalen Benutzerkonto (Ereignis 4624).<\/b> Ordnungsgem\u00e4\u00dfe Nutzer melden sich mit einem Dom\u00e4nenkonto an, und eine Anmeldung mit einem lokalen Konto k\u00f6nnte den Beginn eines Angriffs signalisieren. Ereignis 4624 umfasst auch Anmeldungen mit einem Dom\u00e4nenkonto, daher sollten bei der Verarbeitung von Ereignissen solche Ereignisse herausgefiltert werden, bei denen die Dom\u00e4ne von dem Namen der Arbeitsstation abweicht.<\/p>\n

Anmeldeversuch mit dem angegebenen Konto (Ereignis 4648).<\/b> Das tritt auf, wenn ein Prozess im Modus \u201eAusf\u00fchren als\u201c arbeitet. Im Normalbetrieb der Systeme sollte dies nicht der Fall sein, daher sollten solche Ereignisse \u00fcberwacht werden.<\/p>\n

Sperren\/Entsperren einer Arbeitsstation (Ereignisse 4800-4803).<\/b> Zu den verd\u00e4chtigen Ereignissen geh\u00f6ren alle Aktivit\u00e4ten, die auf einer gesperrten Arbeitsstation stattgefunden haben.<\/p>\n

\u00c4nderungen der Firewall-Konfiguration (Ereignisse 4944-4958).<\/b> Offensichtlich k\u00f6nnen sich bei der Installation neuer Software die Einstellungen der Firewall-Konfiguration \u00e4ndern, was zu Fehlalarmen f\u00fchren kann. In den meisten F\u00e4llen ist es nicht notwendig, solche \u00c4nderungen zu \u00fcberwachen, aber dar\u00fcber informiert zu sein, schadet sicherlich nicht.<\/p>\n

Anschlie\u00dfen von Plug\u2019n\u2019Play-Ger\u00e4ten (Ereignis 6416 und nur f\u00fcr Windows 10).<\/b> Es ist wichtig darauf zu achten, wenn Benutzer normalerweise keine neuen Ger\u00e4te an die Arbeitsstation anschlie\u00dfen und pl\u00f6tzlich eines anschlie\u00dfen.<\/p>\n

Windows umfasst 9 Kategorien der \u00dcberwachung und 50 Unterkategorien zur Feinabstimmung. Das minimale Set von Unterkategorien, das in den Einstellungen aktiviert werden sollte, umfasst:<\/p>\n

Anmeldung\/Ausmeldung<\/b><\/p>\n