{"id":31289,"date":"2019-10-31T21:40:29","date_gmt":"2019-10-31T18:40:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows\/"},"modified":"2019-10-31T21:40:29","modified_gmt":"2019-10-31T18:40:29","slug":"chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","title":{"rendered":"Cosa utile si pu\u00f2 estrarre dai log di una stazione di lavoro basata su Windows","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La stazione di lavoro degli utenti rappresenta il punto pi\u00f9 vulnerabile dell'infrastruttura in termini di sicurezza informatica. Gli utenti possono ricevere nella loro email di lavoro un messaggio apparentemente proveniente da una fonte sicura, ma che contiene un link a un sito compromesso. \u00c8 possibile che qualcuno scarichi un'utilit\u00e0 utile per il lavoro da una fonte sconosciuta. Potremmo inventare una dozzina di casi in cui il malware possa penetrare nelle risorse aziendali attraverso gli utenti. Per questo motivo, le stazioni di lavoro richiedono attenzione speciale, e in questo articolo parleremo di quali eventi monitorare per rilevare attacchi.<\/p>\n

\"Cosa
\n
\n<\/a><\/noindex><\/p>\n

Per identificare un attacco nella sua fase iniziale, nel sistema operativo Windows esistono tre fonti di eventi utili: il registro eventi di sicurezza, il registro di monitoraggio del sistema e i registri di PowerShell.<\/p>\n

Registro eventi di sicurezza (Security Log)<\/h2>\n

\nQuesto \u00e8 il principale archivio dei log di sicurezza del sistema. Qui vengono archiviati gli eventi di accesso\/uscita degli utenti, l'accesso agli oggetti, le modifiche delle politiche e altre attivit\u00e0 legate alla sicurezza. Ovviamente, se \u00e8 stata impostata la politica corrispondente.<\/p>\n

\"Cosa
\n
\nEnumerazione degli utenti e dei gruppi (eventi 4798 e 4799).<\/b> All'inizio di un attacco, il malware spesso esamina le credenziali degli account utente locali e dei gruppi locali sulla stazione di lavoro per trovare dati per le sue malefatte. Questi eventi possono aiutare a rilevare il codice dannoso prima che progredisca ulteriormente e si diffonda su altri sistemi utilizzando i dati raccolti.<\/p>\n

Creazione di un'account locale e modifiche nei gruppi locali (eventi 4720, 4722\u20134726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 e 5377).<\/b> Un attacco pu\u00f2 anche iniziare, ad esempio, con l'aggiunta di un nuovo utente al gruppo degli amministratori locali.<\/p>\n

Tentativi di accesso con un'account locale (evento 4624).<\/b> Gli utenti legittimi accedono con un'account di dominio, e la rilevazione di un accesso con un'account locale potrebbe indicare l'inizio di un attacco. L'evento 4624 include anche gli accessi con l'account di dominio, quindi durante l'elaborazione degli eventi \u00e8 necessario filtrare quelli in cui il dominio \u00e8 diverso dal nome della stazione di lavoro.<\/p>\n

Tentativo di accesso con un'account specificata (evento 4648).<\/b> Ci\u00f2 avviene quando un processo viene eseguito in modalit\u00e0 \"Esegui come\". In condizioni operative normali, non dovrebbe avvenire, quindi questi eventi devono essere monitorati.<\/p>\n

Blocco\/sblocco della stazione di lavoro (eventi 4800-4803).<\/b> Appartengono alla categoria degli eventi sospetti tutte le azioni che si sono verificate su una stazione di lavoro bloccata.<\/p>\n

Modifiche alla configurazione del firewall (eventi 4944-4958).<\/b> \u00c8 evidente che durante l'installazione di nuovi software, le impostazioni del firewall possono essere modificate, il che potrebbe causare falsi allarmi. In molti casi, non \u00e8 necessario monitorare tali cambiamenti, ma sapere che esistono non \u00e8 mai superfluo.<\/p>\n

Collegamento di dispositivi Plug\u2019n\u2019play (evento 6416 e solo per Windows 10).<\/b> \u00c8 importante monitorare questo se gli utenti solitamente non collegano nuovi dispositivi alla stazione di lavoro e all'improvviso lo fanno.<\/p>\n

Windows include 9 categorie di auditing e 50 sotto-categorie per la configurazione fine. Il set minimo di sotto-categorie raccomandato \u00e8:<\/p>\n

Accesso\/Disconnessione<\/b><\/p>\n