DokumentaceModuly

Windows události — beta

Windows události — přehled

Stránka Windows události analyzuje bezpečnostní logy Windows sbírané agenty Fleet: přihlášení, změny účtů a skupin, použití oprávnění, Kerberos a kritické události. FlowPro nad daty každé 2 minuty vyhodnocuje 18 detekcí útoků a nálezy posílá do Centra událostí.

Vyžadovaná licence: Enterprise(beta modul)

•Předvolby času (1 h – 30 dní) nebo vlastní rozsah až 90 dní; všechny filtry jsou součástí adresy URL
•Profil uživatele nebo stanice: aktivita, stanice / uživatelé, zdrojové IP, typy přihlášení, detekce, souvislosti z Active Directory a aktiv
•Kliknutím na řádek zobrazíte všechna pole a přejdete do Active Directory, k aktivu, do Průzkumníku logů nebo síťových nástrojů

Sběr logů Windows

Nainstalujte agenta Elastic

Nainstalujte agenta Fleet na řadiče domény a důležité servery (Infrastruktura → Agenti) do politiky pro Windows.

Zapněte kanály

V záložce Zdroje dat administrátor vidí politiky pro Windows a které kanály integrace System (vstup winlog) jsou zapnuté. Zapnout sběr zapne Security, System a Application jen ve vybrané politice — linuxové politiky se nemění.

Nastavte zásadu auditu

Windows zapisuje jen to, co povolí zásada auditu. Doporučená rozšířená zásada auditu pro řadiče domény (GPO „Default Domain Controllers Policy“):

Account Logon:      Credential Validation, Kerberos Authentication Service,
                    Kerberos Service Ticket Operations      Success, Failure
Account Management: User / Security Group Management       Success
Logon/Logoff:       Logon, Account Lockout, Special Logon   Success, Failure
DS Access:          Directory Service Access, Changes       Success
Policy Change:      Audit Policy Change                     Success
System:             Security System Extension               Success
PowerShell:         Turn on Script Block Logging (Administrative Templates)

Logy Windows mají vlastní kategorii retence „Windows události“ (Nastavení → Databáze → Retence dat), výchozí 365 dní, omezenou licencí.

Přihlášení

Úspěšná (4624) a neúspěšná (4625) přihlášení s typem přihlášení, důvodem selhání (SubStatus) a zdrojovou IP. Filtrujte podle výsledku, typu, uživatele, stanice nebo IP; kliknutím na typ přihlášení nebo IP v panelech filtr nastavíte.

Typ	Význam
2	Interaktivní (u počítače)
3	Síťové (sdílené složky, většina služeb)
5	Spuštění služby
10	Vzdálená plocha (RDP)
11	Údaje z mezipaměti (notebook mimo síť)

Změny účtů a skupin

Změny účtů (4720 vytvoření, 4722/4725 povolení/zakázání, 4723/4724 heslo, 4726 smazání, 4740 uzamčení, 4781 přejmenování, 4794 DSRM) a změny členství ve skupinách (4728/4732/4756 přidání, 4729/4733/4757 odebrání). Privilegované skupiny mají korunku — poznají se podle známého SID i podle Active Directory.

Logy Windows říkají, KDO změnu provedl; Active Directory → Změny ukazuje, CO se mezi dvěma synchronizacemi změnilo. Používejte obojí.

Oprávnění

Přihlášení se speciálními oprávněními (4672) a privilegované operace (4673, 4674). Počítačové účty (…$) a vestavěné služby jsou ve výchozím stavu skryté, takže seznam ukazuje lidi s administrátorskými právy.

Kerberos

Žádosti o lístek TGT (4768), servisní lístky (4769) a selhání předběžného ověření (4771) s typem šifrování. RC4 (0x17) a DES by se v moderní doméně neměly objevovat — karta Slabé šifrování je vyfiltruje; účty žádající RC4 jsou uvedeny zvlášť.

Kritické události

Události, kterými útočník zahlazuje stopy nebo se usazuje: smazání logu Security (1102), smazání logu System (104), změna zásady auditu (4719), instalace služby (7045 v logu System, 4697) a nastavení hesla DSRM (4794).

Detekce

Detekce vyhodnocuje FlowPro sám každé 2 minuty (jeden proces). Agregační detekce sledují posuvné okno a pro stejnou IP / uživatele se opakují až po uplynutí doby opakování (výchozí 60 min); jednorázové detekce hlásí každý nový výskyt. Každý nález je událost v Centru událostí s technikou MITRE ATT&CK — mohou na ni reagovat scénáře a notifikační kanály a stránka MITRE ukazuje Windows jako zdroj.

Detekce	Podmínka	MITRE
Hrubá síla	≥ 10 neúspěšných přihlášení z jedné IP za 10 min	T1110
Password spraying	jedna IP, ≥ 8 různých účtů za 15 min	T1110.003
Přihlášení po selháních	≥ 5 selhání a pak úspěch ze stejné IP	T1110
Nárůst uzamčení	≥ 5 uzamčení (4740) za 10 min	T1110
Kerberoasting	jeden účet, lístky RC4/DES pro ≥ 5 služeb (bez krbtgt a počítačů)	T1558.003
AS-REP roasting	TGT vydaný s PreAuthType 0	T1558.004
DCSync	4662 s GUID replikace od účtu, který není řadič	T1003.006
Změna privilegované skupiny	člen přidán do Domain Admins, Administrators, … (SID / AD)	T1098
Vytvořen / smazán účet	4720 / 4726	T1136.002 / T1531
Smazání auditního logu	1102 / 104	T1070.001
Změna zásady auditu	4719 člověkem	T1562.002
Nová služba	7045 / 4697	T1543.003
Heslo DSRM	4794	T1098
Admin mimo pracovní dobu	interaktivní / RDP přihlášení privilegovaného účtu mimo pracovní dobu nebo o víkendu	T1078.002
RDP z internetu	přihlášení typu 10 z veřejné IP	T1021.001
Podezřelý PowerShell	4104 se stahováním a spuštěním, kódovaným příkazem, obejitím AMSI, Mimikatz	T1059.001
Naplánovaná úloha (vypnuto)	4698	T1053.005

Ladění

Administrátor zapíná a vypíná detekce, mění prahy a nastavuje výjimky (účty, IP, stanice — jedna na řádek, * na konci = začíná na), další administrátorské účty pro detekci mimo pracovní dobu (privilegované účty z AD se berou automaticky), pracovní dobu, dobu opakování, minimální závažnost a notifikace. Spustit nyní vyhodnotí detekce okamžitě (analytik a administrátor).

Starší verze zakládaly detekce jako pravidla v Kibaně při každém restartu, takže se mohly nahromadit tisíce kopií a přetížit Kibanu. Po aktualizaci je FlowPro jednou automaticky smaže.

Zdroje dat

Stav sběru: poslední bezpečnostní událost, Windows agenti online ve Fleetu a zda posílají data, kanály s počty událostí, stanice s poslední událostí a politiky Fleet pro Windows se stavem jednotlivých kanálů. Když jsou Windows agenti online, ale v limitu (výchozí 6 h) nepřijde žádná bezpečnostní událost, vznikne událost v Centru událostí.

Propojení s dalšími moduly

Modul	Vazba
Centrum událostí, scénáře	zdroj „Windows události“; tlačítko u události otevře profil uživatele nebo stanice
Active Directory	privilegované účty a skupiny, karta AD v profilech, odkaz z uživatelů a počítačů v AD
MITRE ATT&CK	zdroj „Windows“ — výskyty technik a pokrytí zapnutými detekcemi
Aktiva, Průzkumník logů, síťové nástroje	prokliky z každé události a profilu

Řešení problémů

Problém	Řešení
Pruh „Zatím nepřišly žádné bezpečnostní události“	V Zdrojích dat zapněte kanál Security a zkontrolujte stav agenta ve Fleetu.
Přihlášení jsou, ale chybí změny skupin / Kerberos	Zásada auditu je nezapisuje — viz Sběr logů Windows → zásada auditu (řadiče domény).
Podezřelý PowerShell nikdy nehlásí	Vyžaduje integraci Windows (kanál PowerShell Operational) a zapnuté Script Block Logging.
Příliš mnoho detekcí od skeneru nebo servisního účtu	Přidejte IP / účet do výjimek v Detekcích.
Uživatelé / stanice ukazují 0, i když události existují	Stará šablona indexu „flowpro-logs“ přebíjela mapování Fleetu; aktualizace ho odstraní a další index každého proudu má správná pole.