{"id":31289,"date":"2019-10-31T21:40:29","date_gmt":"2019-10-31T18:40:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows\/"},"modified":"2019-10-31T21:40:29","modified_gmt":"2019-10-31T18:40:29","slug":"chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/chto-poleznogo-mozhno-vytashhit-iz-logov-rabochej-stantsii-na-baze-os-windows","title":{"rendered":"Vad kan vara anv\u00e4ndbart att h\u00e4mta fr\u00e5n loggarna p\u00e5 en arbetsstation baserad p\u00e5 Windows","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Anv\u00e4ndarstationen \u00e4r den mest s\u00e5rbara delen av infrastrukturen n\u00e4r det g\u00e4ller informationss\u00e4kerhet. Anv\u00e4ndare kan f\u00e5 e-post som ser ut att komma fr\u00e5n en s\u00e4ker k\u00e4lla, men som inneh\u00e5ller en l\u00e4nk till en infekterad webbplats. Kanske laddar n\u00e5gon ner ett verktyg fr\u00e5n ett ok\u00e4nt st\u00e4lle. Man kan t\u00e4nka sig tiotals fall d\u00e4r skadlig programvara kan tr\u00e4nga in i f\u00f6retagsresurser via anv\u00e4ndare. D\u00e4rf\u00f6r kr\u00e4ver arbetsstationer \u00f6kad uppm\u00e4rksamhet, och i denna artikel kommer vi att ber\u00e4tta varifr\u00e5n och vilka h\u00e4ndelser som ska sp\u00e5ras f\u00f6r att uppt\u00e4cka attacker.<\/p>\n

\"Vad
\n
\n<\/a><\/noindex><\/p>\n

F\u00f6r att uppt\u00e4cka en attack i ett tidigt skede finns det tre anv\u00e4ndbara h\u00e4ndelsek\u00e4llor i Windows OS: s\u00e4kerhetslogg, system\u00f6vervakningslogg och PowerShell-loggar.<\/p>\n

S\u00e4kerhetslogg (Security Log)<\/h2>\n

\nDetta \u00e4r den huvudsakliga platsen f\u00f6r lagring av s\u00e4kerhetsrelaterade systemloggar. H\u00e4r sparas h\u00e4ndelser f\u00f6r inloggning\/utloggning av anv\u00e4ndare, \u00e5tkomst till objekt, \u00e4ndringar av policyer och andra aktiviteter relaterade till s\u00e4kerhet. Naturligtvis f\u00f6ruts\u00e4tter detta att en l\u00e4mplig policy har st\u00e4llts in.<\/p>\n

\"Vad
\n
\n\u00d6vervakning av anv\u00e4ndare och grupper (h\u00e4ndelser 4798 och 4799).<\/b> Skadlig programvara letar ofta tidigt under attacken igenom lokala anv\u00e4ndarkonton och lokala grupper p\u00e5 arbetsstationen f\u00f6r att hitta anv\u00e4ndaruppgifter f\u00f6r sina illasinnade syften. Dessa h\u00e4ndelser kan hj\u00e4lpa till att uppt\u00e4cka den skadliga koden tidigare innan den sprider sig till andra system med insamlade uppgifter.<\/p>\n

Skapande av lokalt anv\u00e4ndarkonto och \u00e4ndringar i lokala grupper (h\u00e4ndelser 4720, 4722\u20134726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 och 5377).<\/b> En attack kan ocks\u00e5 inledas med att en ny anv\u00e4ndare l\u00e4ggs till i gruppen f\u00f6r lokala administrat\u00f6rer.<\/p>\n

F\u00f6rs\u00f6k att logga in med lokalt anv\u00e4ndarkonto (h\u00e4ndelse 4624).<\/b> Godhj\u00e4rtade anv\u00e4ndare loggar in med dom\u00e4nkonto, och uppt\u00e4ckten av inloggning med lokalt anv\u00e4ndarkonto kan betyda att en attack inleds. H\u00e4ndelse 4624 inkluderar ocks\u00e5 inloggningar med dom\u00e4nkonto, s\u00e5 det \u00e4r viktigt att filtrera h\u00e4ndelser d\u00e4r domen skiljer sig fr\u00e5n namnet p\u00e5 arbetsstationen vid behandling av h\u00e4ndelser.<\/p>\n

F\u00f6rs\u00f6k att logga in med ett specifikt konto (h\u00e4ndelse 4648).<\/b> Det h\u00e4r h\u00e4nder n\u00e4r processen k\u00f6rs i \"K\u00f6r som\" -l\u00e4ge. I normalt driftl\u00e4ge b\u00f6r s\u00e5dana h\u00e4ndelser inte f\u00f6rekomma, s\u00e5 s\u00e5dana h\u00e4ndelser b\u00f6r h\u00e5llas under kontroll.<\/p>\n

L\u00e5sning\/ol\u00e5sning av arbetsstation (h\u00e4ndelser 4800-4803).<\/b> Till kategorin misst\u00e4nkta h\u00e4ndelser kan man r\u00e4kna alla \u00e5tg\u00e4rder som utf\u00f6rdes p\u00e5 en l\u00e5st arbetsstation.<\/p>\n

\u00c4ndringar av brandv\u00e4ggskonfigurationen (h\u00e4ndelser 4944-4958).<\/b> Det \u00e4r uppenbart att vid installation av ny programvara kan inst\u00e4llningarna i brandv\u00e4ggen \u00e4ndras, vilket kan leda till falska larm. I de flesta fall \u00e4r det inte n\u00f6dv\u00e4ndigt att kontrollera s\u00e5dana \u00e4ndringar, men det skadar inte att veta om dem.<\/p>\n

Anslutning av Plug\u2019n\u2019play-enheter (h\u00e4ndelse 6416 och endast f\u00f6r Windows 10).<\/b> Detta \u00e4r viktigt att f\u00f6lja upp, om anv\u00e4ndarna vanligtvis inte ansluter nya enheter till arbetsstationen, men pl\u00f6tsligt har gjort det.<\/p>\n

Windows inkluderar 9 kategorier av granskning och 50 underkategorier f\u00f6r finjustering. Det minimiantal av underkategorier som b\u00f6r aktiveras i inst\u00e4llningarna \u00e4r:<\/p>\n

Inloggning\/Utloggning<\/b><\/p>\n