Mengonfigurasi Koleksi Peristiwa Windows

  • Artikel

Berlaku untuk: Analitik Ancaman Tingkat Lanjut versi 1.9

Catatan

Untuk ATA versi 1.8 dan yang lebih tinggi, konfigurasi pengumpulan peristiwa tidak lagi diperlukan untuk Gateway Ringan ATA. Gateway ATA Lightweight sekarang membaca peristiwa secara lokal, tanpa perlu mengonfigurasi penerusan peristiwa.

Untuk meningkatkan kemampuan deteksi, ATA memerlukan peristiwa Windows berikut: 4776, 4732, 4733, 4728, 4729, 4756, 4757, 7045. Ini dapat dibaca secara otomatis oleh Gateway Ringan ATA atau jika Gateway Ringan ATA tidak disebarkan, itu dapat diteruskan ke Gateway ATA dengan salah satu dari dua cara, dengan mengonfigurasi Gateway ATA untuk mendengarkan peristiwa SIEM atau dengan mengonfigurasi Penerusan Peristiwa Windows.

Catatan

Jika Anda menggunakan Server Core, wecutil dapat digunakan untuk membuat dan mengelola langganan ke peristiwa yang diteruskan dari komputer jarak jauh.

Konfigurasi WEF untuk Gateway ATA dengan pencerminan port

Setelah mengonfigurasi pencerminan port dari pengontrol domain ke Gateway ATA, gunakan instruksi berikut untuk mengonfigurasi penerusan Peristiwa Windows menggunakan konfigurasi Yang Dimulai Sumber. Ini adalah salah satu cara untuk mengonfigurasi penerusan Peristiwa Windows.

Langkah 1: Tambahkan akun layanan jaringan ke Grup Pembaca Log Peristiwa domain.

Dalam skenario ini, asumsikan bahwa Gateway ATA adalah anggota domain.

  1. Buka Pengguna dan Komputer Direktori Aktif, navigasikan ke folder BuiltIn dan klik dua kali Pembaca Log Peristiwa.
  2. Pilih Anggota.
  3. Jika Layanan Jaringan tidak tercantum, pilih Tambahkan, ketik Layanan Jaringan di bidang Masukkan nama objek untuk dipilih . Lalu pilih Periksa Nama dan pilih OK dua kali.

Setelah menambahkan Layanan Jaringan ke grup Pembaca Log Peristiwa, mulai ulang pengontrol domain agar perubahan diterapkan.

Langkah 2: Buat kebijakan pada pengontrol domain untuk mengatur pengaturan Konfigurasikan Manajer Langganan target.

Catatan

Anda dapat membuat kebijakan grup untuk pengaturan ini dan menerapkan kebijakan grup ke setiap pengendali domain yang dipantau oleh Gateway ATA. Langkah-langkah di bawah ini mengubah kebijakan lokal pengendali domain.

  1. Jalankan perintah berikut pada setiap pengontrol domain: winrm quickconfig

  2. Dari perintah ketik gpedit.msc.

  3. Perluas Templat > Administratif Konfigurasi > Komputer Penerusan > Peristiwa Komponen Windows

    Local policy group editor image.

  4. Klik ganda Konfigurasikan Manajer Langganan target.

    1. Pilih Diaktifkan.

    2. Di bawah Opsi, pilih Perlihatkan.

    3. Di bawah SubscriptionManagers, masukkan nilai berikut dan pilih OK: Server=http://<fqdnATAGateway\>:5985/wsman/SubscriptionManager/WEC,Refresh=10

      (Misalnya: Server=http://atagateway9.contoso.com:5985/wsman/SubscriptionManager/WEC,Refresh=10)

      Configure target subscription image.

    4. Pilih OK.

    5. Dari perintah yang ditingkatkan, ketik gpupdate /force.

Langkah 3: Lakukan langkah-langkah berikut pada Gateway ATA

  1. Buka prompt perintah yang ditingkatkan dan ketik wecutil qc

  2. Buka Pemantau Peristiwa.

  3. Klik kanan Langganan dan pilih Buat Langganan.

    1. Masukkan nama dan deskripsi untuk langganan.

    2. Untuk Log Tujuan, konfirmasikan bahwa Peristiwa yang Diteruskan dipilih. Agar ATA membaca peristiwa, log tujuan harus Diteruskan Peristiwa.

    3. Pilih Komputer sumber dimulai lalu pilih Pilih Grup Komputer.

      1. Pilih Tambahkan Komputer Domain.
      2. Masukkan nama pengendali domain di bidang Masukkan nama objek untuk dipilih . Lalu pilih Periksa Nama dan pilih OK.
        Event Viewer image.
      3. Pilih OK.

    4. Pilih Pilih Peristiwa.

      1. Pilih Menurut log dan pilih Keamanan.
      2. Di bidang Sertakan/Kecualikan ID Peristiwa ketik nomor peristiwa dan pilih OK. Misalnya, ketik 4776, seperti dalam sampel berikut.

      Query filter image.

    5. Klik kanan langganan yang dibuat dan pilih Status Runtime untuk melihat apakah ada masalah dengan status tersebut.

    6. Setelah beberapa menit, periksa untuk melihat bahwa peristiwa yang Anda atur untuk diteruskan muncul di Peristiwa yang Diteruskan di Gateway ATA.

Untuk informasi selengkapnya, lihat: Mengonfigurasi komputer untuk meneruskan dan mengumpulkan peristiwa

Lihat Juga