# Настройка мониторинга на DC (Windows) с помощью SIEM
###### tags: `Инструкции по SIEM`
*Настройку актива нужно выполнять от имени учетной записи с правами администратора*
**При использовании межсетевого экрана и других средств для контроля трафика требуется настроить в них правила, разрещающие трафик в сторону SIEM и сборщика логов**
На различных средствах контроля трафика должны быть установлены правила, разрешающие трафик от узла информационной системы к WindowsLogCollector(сборщик логов Windows) - 172.31.255.38 по порту 5986 TCP.
***
## Настройка получения обогащенных событий источника с помощью утилиты Sysmon
**Для получения более подробного описания событий необходимо использовать официальную утилиту Windows - Sysmon. Для упрощенной установки данной утилиты и её использования необходимо воспользоваться скриптом [**(sysmon_PT_official-install)**](https://disk.yandex.ru/d/Z3ZhicOAt_p24Q). Внутри папки есть инструкция по использованию утилиты.**
**!!!Обратите внимание на результат после выполнения скрипта, если там вы обнаружите ошибку, то выполните следующие действия:**
1) Запустите командную строку от имени администратора:
2) И введите следующие команды: **``cd C:\ProgramData\sysmon``**, затем **``sysmon64.exe -accepteula -i PT_SIEM_official_config.xml``**
Если у вас также возникает ошибка при вводе последней команды, то следует обратится к специалистам отдела кибербезопасности ЦИТ.
***
## Настройка сбора и отправки событий в Windows Log Collector
**!!!ВАЖНО!!!**
**Преждем чем приступать к данной настройки у вас уже должна быть выполнена настройка получения событий с помощью утилиты Sysmon!**
### Добавление сертификата и настройка прав доступа сертификата
1. По следующей ссылке скачиваем архив с нужным сертификатом - https://disk.yandex.ru/d/7yfYoKchmpRVMA
2. В архиве имеется сертификат и сертификат с закрытым ключом. Добавим сначала сертификат в "Доверенные корневые центры сертификации" для этого:
- Открываем сертификат с расширением ".cer" двойным щелчком мыши.
- Выбираем "Установить сертификат", затем выбираем "Локальный компьютер" щелкаем "Далее".
- В следующем окне выбираем пункт "Поместить все сертификаты в следующее хранилище" и по кнопке обзор выбираем "Доверенные корневые центры сертификации", затем "Ок" и "Далее".
- И в последнем окне щелкаем "Готово"
3. Добавляем сертификат с закрытым ключом:
- Открываем сертификат с разрешением ".pfx" в открывшемся окне выбираем "Локальный компьютер" и щелкаем "Далее".
- Проверяем, что путь до сертификата указан верно и щелкаем "Далее".
- В следующем окне необходимо указать пароль от сертификата (**пароль нужно запросить у специалиста кибербезопасности**), затем щелкаем "Далее".
- В окне выбора хранилища ставим пункт "Поместить все сертификаты в следующее хранилище" и по кнопке "Обзор" выбираем "Личное". Затем щелкаем "Далее".
- В последнем окне щелкаем "Готово"
4. Запускаем командную строку (cmd.exe) от имени администратора (Пуск – Служебные – Командная строка).
5. В открывшемся окне необходимо выполнить команду **certlm.msc**
6. Далее переходим по пути "Личное - Сертификаты" и щелкаем правой кнопкой мыши по сертификату "EventCollector" в открывшемся контекстном меню выбираем "Все задачи - Управление закрытыми ключами"
7. В открывшемся окне щелкаем "Добавить" затем "Размещение", тут выбираем ваш компьютер (в примере "SOC2").
8. Затем в полсе выбираемых объектов пишем "NETWORK SERVICE" и щелкаем "Проверить имена" и затем "Ок".
9. Проверяем что у добавленой группы есть **разрешающие** права на "Полный доступ" и "Чтение". Щелкаем "Ок".
Необходимые сертификаты и права добавлены!
### Добавление DNS записи сервера сборщика в файл hosts
1. Открываем стандартную программу "Блокнот" от имени администратора.
2. В программе щелкаем "Файл - Открыть" (либо используем комбинацию клавиш **Ctrl + O**)
3. Переходим по пути **C:\Windows\System32\drivers\etc** и выбираем файлик hosts (если файл не видн, то выберите в формате файлов "Все файлы").
4. В конец файла допишите следующую строку **172.31.255.38 EventCollector**
5. Сохраните файл.
### Настройка передачи событий на сервер-сборщик
1. Запускаем командную строку (cmd.exe) от имени администратора (Пуск – Служебные – Командная строка).
2. В открывшемся окне выполняем команду **winrm quickconfig** (соглашаемся клавишей **y**, если будет запрос на настройку), а затем выполняем команду **winrm g winrm/config** результат должен быть примерно как на скришоте.
3. Затем, там же в командной строке выполняем следующую команду: **winrm set winrm/config/client/auth @{Certificate="true"}** (если возникает ошибка, то необходимо вручную удалить и добавить кавычки заново в слове **true**)
4. Проверяем корректность связи с сервером-сборщиком следующей командой: **winrm g winrm/config -r:https://EventCollector:5986 -a:certificate -certificate:e618a986b9c8919b4bff09e01f9ea58f26058c4f** (Должен вернутся ответ как на скриншоте, в случае ошибки необходимо обратиться к специалисту кибербезопасности для решения проблемы)
5. Затем, необходимо загрузить скрипт по ссылке (https://disk.yandex.ru/d/NzDXfJH4-vTcqw) и запустить его от имени администратора. Данный скрипт выдаст на требуемые журналы права, которые дадут возможность их отправки на сервер-сборщик.
6. Далее, в командной строке вводим следующую команду **gpedit.msc**
7. В открывшемся окне переходим по пути **Политика "Локальный компьютер" → Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Пересылка событий** и выбираем **Настроить конечный диспетчер подписки**
8. В данном окне выбираем пункт "Включено", в графе параметры щелкаем "Показать", в поле "Значение" указываем следующее **Server=https://EventCollector:5986/wsman/SubscriptionManager/WEC,Refresh=60,IssuerCA=e618a986b9c8919b4bff09e01f9ea58f26058c4f** и нажимаем "Ок". Во втором окне, также щелкаем "Ок"
Настройка отправки завершена!
***
## Настройка аудита создания процессов
**Если компьютер на котором выполняется настройка состоит в домене, то первые 3 пункта выполнять не нужно, сразу переходите к настройке через групповые политики**
1. Запускаем командную строку (cmd.exe) от имени администратора (Пуск – Служебные – Командная строка).
2. В открывшемся окне выполнить команду **gpedit.msc**
3. Откроется редактор групповой политики в котором необходимо перейти по пути **(Политика «Локальный компьютер» - Конфигурация компьютера - Административные шаблоны - Система)** выбрать папку **«Аудит создания процессов»** в ней открыть параметр **«Включать командную строку в события создания процессов»** и изменить его на **«Включено»**. Затем нажать **«ОК»**.
***
## Настройка мониторинга критических модулей
1. Запускаем командную строку (cmd.exe) от имени администратора (Пуск – Служебные – Командная строка).
2. В открывшемся окне выполнить команду **gpedit.msc**
3. В открывшемся редакторе групповой политики перейти по пути **«Конфигурация компьютера – Административные шаблоны – Компоненты Windows – Windows Powershell»** и выбираем пункт **Включить регистрацию блоков сценариев PowerShell**
4. Открываем указанный выше пункт и включаем его, также необходимо дополнительно поставить галочку на параметр **Регистрация начала или остановки вызова блоков сценариев** и нажимаем "Ок".
5. Далее, тут же в редакторе локальной групповой политике переходим по следующему пути **«Конфигурация компьютера – Конфигурация Windows – Параметры безопасности – Локальные политики - Параметры безопасности»** тут находим пункт **Сетевая безопасность: Ограничения NTLM: Исходящий трафик NTLM к удаленным сервисам**, открываем его.
6. В доступной графе выставляем **Аудит всего**.
Настройка критичных сервисов завершена.
***
## Настройка расширенного аудита
1. Запускаем командную строку (cmd.exe) от имени администратора (Пуск – Служебные – Командная строка).
2. В открывшемся окне выполнить команду **gpedit.msc**
3. Затем переходим по пути **«Конфигурация компьютера – Конфигурация Windows – Параметры безопасности – Локальные политики – Параметры безопасности»** и находим пункт **"Аудит: принудительно переопределяет параметры категории политики аудита параметрами подкатегории политики аудита"**, включаем его.
После того, как все параметры выставлены, закрываем окно.
Расширенный аудит настроен!
4. В открывшемся редакторе групповой политики перейти по пути **«Конфигурация компьютера – Конфигурация Windows – Параметры безопасности – Конфигурация расширенной политики аудита – Политики аудита системы»**
5. Выбираем первую категорию **Вход учетной записи** в данном разделе двойным щелчком мыши открываем подкатегорию **Аудит проверки учетных данных** и выставляем галочки на пункты: **Настроить следующие события аудита:**, **Успех** и **Отказ**.
6. Аналогичным образом, как в предыдущем пункте, выставляем параметры в соответствии с табличкой ниже
**`X (крестик) - ставим галочку в пункт, 0 (нолик) - галочку ставить не нужно.`**
***Подкатегория аудита*** | ***Аудит успеха*** | ***Аудит отказа*** |
------- | -------- | -------- |
**Вход учетной записи**
**Аудит проверки учетных данных** | x | x |
**Аудит службы проверки подлинности Kerberos** | x | x |
**Аудит операций с билетами службы Kerberos** | x | x |
**Аудит других событий входа учетных записей** | x | 0 |
**Управление учетными записями**
**Аудит управления группами приложений** | x | 0 |
**Аудит управления учетными записями компьютеров** | x | 0 |
**Аудит управления группами распространения** | x | 0 |
**Аудит других событий управления учетными записями** | x | 0 |
**Аудит управления группами безопасности** | x | 0 |
**Аудит управления учетными записями пользователей** | x | x |
**Подробное отслеживание**
**Аудит активности DPAPI** | 0 | 0 |
**Аудит активности PNP** | x | 0 |
**Аудит создания процессов** | x | 0 |
**Аудит завершения процессов** | x | 0 |
**Аудит событий RPC** | 0 | 0 |
**Доступ к DS (службе каталогов)**
**Аудит подробной репликации службы каталогов** | x | x |
**Аудит доступа к службе каталогов** | 0 | x |
**Аудит изменения службы каталогов** | x | x |
**Аудит репликации службы каталогов** | 0 | 0 |
**Вход и выход из системы**
**Аудит блокировки учетных записей** | 0 | x |
**Аудит заявок пользователей или устройств на доступ** | 0 | 0 |
**Аудит расширенного режима IPsec** | 0 | 0 |
**Аудит основного режима IPsec** | 0 | 0 |
**Аудит быстрого режима IPsec** | 0 | 0 |
**Аудит выхода из системы** | x | 0 |
**Аудит входа** | x | x |
**Аудит сервера политики сети** | x | x |
**Аудит других событий входа и выхода** | x | x |
**Аудит специального входа** | x | 0 |
**Доступ к объектам**
**Аудит событий, создаваемых приложениями** | x | x |
**Аудит служб сертификации** | x | x |
**Аудит сведений об общем файловом ресурсе** | x | x |
**Аудит общего файлового ресурса** | x | x |
**Аудит файловой системы** | x | x |
**Аудит подключения платформы фильтрации** | 0 | x |
**Аудит отбрасывания пакетов платформой фильтрации** | 0 | 0 |
**Аудит работы с дескрипторами** | x | 0 |
**Аудит объектов ядра** | 0 | 0 |
**Аудит других событий доступа к объектам** | x | x |
**Аудит реестра** | x | x |
**Аудит съемного носителя** | x | x |
**Аудит диспетчера учетных записей безопасности** | x | x |
**Аудит сверки с централизованной политикой доступа** | 0 | 0 |
**Изменение политики**
**Аудит изменения политики аудита** | x | 0 |
**Аудит изменения политики проверки подлинности** | x | 0 |
**Аудит изменения политики авторизации** | x | 0 |
**Аудит изменения политики платформы фильтрации** | x | x |
**Аудит изменения политики на уровне правил MPSSVC** | x | x |
**Аудит других событий изменения политики** | x | x |
**Использование привилегий**
**Аудит использования привилегий, не затрагивающих конфиденциальные данные** | 0 | 0 |
**Аудит других событий использования привилегий** | 0 | 0 |
**Аудит использования привилегий, затрагивающих конфиденциальные данные** | 0 | 0 |
**Системные функции**
**Аудит драйвера IPsec** | 0 | 0 |
**Аудит других системных событий** | x | x |
**Аудит изменения состояния безопасности** | x | 0 |
**Аудит расширения системы безопасности** | x | 0 |
**Аудит целостности системы** | x | x |
**Аудит доступа к глобальным объектам**
**Файловая система** | 0 | 0 |
**Реестр** | 0 | 0 |
***
## Настройка логирование DNS
1. Запускаем командную строку (cmd.exe) от имени администратора (Пуск – Служебные – Командная строка).
2. И вводим следующую команду -**``dnscmd <Имя компьютера> /config /logLevel 0x8200f331``**, где вместо <Имя компьютера> необходимо указать имя вашего компьютера.
***
## Просмотр событий в MaxPatrol SIEM
**Учетные записи для просмотра событий необходимо получать через портал help.orb.ru. Заявку оформлять на Отдел кибербезопасности**
1. Для возможности входа в систему мониторинга SIEM (любой компьютер, с которого будет осуществляться вход в систему) необходимо в файл hosts добавить следующие адреса (альтернативный вариант, настройка вашего DNS-сервера, если не используется DNS-правительства):
<pre><code>
nano /etc/hosts
172.28.100.2 siem.gossopka.local
172.28.100.2 mpx-core-agent.gossopka.local
</pre></code>
*Обращаем внимание, даже если раннее производились настройки файла hosts, необходимо перезаписать его, добавив именно эти адреса!*
2. Теперь вы сможете наблюдать события в SIEM системе по адресу:
**https://mpx-core-agent.gossopka.local**
Готово!
***
**Пожалуйста, сообщите специалистам отдела кибербезопасности о внесенных настройках.**
Sign in with Wallet
Connect another wallet