Konfigurieren der Windows-Ereignissammlung
Gilt für: Advanced Threat Analytics, Version 1.9
Hinweis
Für ATA-Versionen 1.8 und höher ist die Ereignissammlungskonfiguration für ATA Lightweight Gateways nicht mehr erforderlich. Das ATA Lightweight Gateway liest jetzt Ereignisse lokal, ohne die Ereignisweiterleitung konfigurieren zu müssen.
Zur Verbesserung der Erkennungsfunktionen benötigt ATA die folgenden Windows-Ereignisse: 4776, 4732, 4733, 4728, 4729, 4756, 4757, 7045. Diese können entweder automatisch vom ATA Lightweight Gateway gelesen werden oder wenn das ATA Lightweight Gateway nicht bereitgestellt wird, kann es auf eine von zwei Arten an das ATA-Gateway weitergeleitet werden, indem das ATA-Gateway so konfiguriert wird, dass er auf SIEM-Ereignisse lauscht oder Windows-Ereignisweiterleitung konfiguriert.
Hinweis
Wenn Sie Server Core verwenden, kann wecutil zum Erstellen und Verwalten von Abonnements für Ereignisse verwendet werden, die von Remotecomputern weitergeleitet werden.
WEF-Konfiguration für ATA-Gateways mit Portspiegelung
Verwenden Sie nach dem Konfigurieren der Portspiegelung von den Domänencontrollern zum ATA-Gateway die folgenden Anweisungen, um die Windows-Ereignisweiterleitung mithilfe der von der Quelle initiierten Konfiguration zu konfigurieren. Dies ist eine Möglichkeit zum Konfigurieren der Windows-Ereignisweiterleitung.
Schritt 1: Hinzufügen des Netzwerkdienstkontos zur Domänen-Ereignisprotokolllesergruppe.
Gehen Sie in diesem Szenario davon aus, dass das ATA-Gateway Mitglied der Domäne ist.
- Öffnen Sie Active Directory-Benutzer und -Computer, navigieren Sie zum Ordner BuiltIn und doppelklicken Sie auf Ereignisprotokollleser.
- Wählen Sie Mitglieder aus.
- Wenn Netzwerkdienst nicht aufgeführt ist, wählen Sie Hinzufügen, geben Sie Netzwerkdienst in das Feld Objektnamen eingeben, um das Feld auszuwählen ein. Wählen Sie Namen überprüfen und klicken Sie auf OK.
Nachdem Sie den Netzwerkdienst zur Gruppe Ereignisprotokollleser hinzugefügt haben, starten Sie die Domänencontroller neu, damit die Änderung wirksam wird.
Schritt 2: Erstellen Sie eine Richtlinie auf den Domänencontrollern, um die Einstellung "Zielabonnement-Manager konfigurieren" festzulegen.
Hinweis
Sie können eine Gruppenrichtlinie für diese Einstellungen erstellen und die Gruppenrichtlinie auf die einzelnen Domänencontroller anwenden, die vom ATA-Gateway überwacht werden. Die folgenden Schritte ändern die lokale Richtlinie des Domänencontrollers.
Führen Sie den folgenden Befehl auf jedem Domänencontroller aus: winrm quickconfig
Geben Sie an einer Eingabeaufforderung gpedit.msc ein.
Erweitern Sie Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Ereignisweiterleitung
Doppelklicken Sie auf Zielabonnement-Manager konfigurieren.
Wählen Sie Aktiviert.
Wählen Sie unter Optionen Anzeigen.
Geben Sie unter Abonnement-Manager den folgenden Wert ein, und wählen Sie OK:
Server=http://<fqdnATAGateway\>:5985/wsman/SubscriptionManager/WEC,Refresh=10(Zum Beispiel: Server=
http://atagateway.contoso.com:5985/wsman/SubscriptionManager/WEC,Refresh=10)
Wählen Sie OK aus.
Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten, und geben Sie Folgendes ein: gpupdate /force.
Schritt 3: Führen Sie die folgenden Schritte auf dem ATA-Gateway aus:
Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten, und geben Sie wecutil qc ein
Öffnen Sie die Ereignisanzeige.
Klicken Sie mit der rechten Maustaste auf "Abonnements", und wählen Sie "Abonnement erstellen" aus.
Geben Sie einen aussagekräftigen Namen für das Abonnement ein.
Vergewissern Sie sich für das Zielprotokoll, dass weitergeleitete Ereignisse ausgewählt sind. Damit ATA die Ereignisse lesen kann, muss das Zielprotokoll weitergeleitete Ereignisse sein.
Wählen Sie Quellcomputer initiiert und dann Computergruppen auswählen.
- Wählen Sie Domänen-Computer hinzufügen.
- Geben Sie den Namen des Domänencontrollers unter Objektnamen eingeben, um auszuwählen ein. Wählen Sie Namen überprüfen und klicken Sie auf OK.
- Wählen Sie OK aus.
Wählen Sie Ereignisse auswählen.
- Wählen Sie Nach Protokoll und dann Sicherheit.
- Geben Sie im Feld Schließt Event ID ein/aus die Ereignisnummer ein und wählen Sie OK. Geben Sie z. B. "4776" wie im folgenden Beispiel ein.
Rechtsklicken Sie auf das erstellte Abonnement, und wählen Sie Laufzeitstatus aus, um festzustellen, ob Probleme mit dem Status auftreten.
Überprüfen Sie nach ein paar Minuten, ob die Ereignisse, die Sie weiterleiten möchten, in den weitergeleiteten Ereignissen im ATA-Gateway angezeigt werden.
Weitere Informationen finden Sie unter Einrichten von Computern zum Weiterleiten und Sammeln von Ereignissen.