Настройка коллекции событий Windows

Область применения: Advanced Threat Analytics версии 1.9

Для повышения возможностей обнаружения ATA требуется следующее Windows события: 4776, 4732, 4733, 4728, 4729, 4756, 4757, 7045. Они могут автоматически считываться упрощенным шлюзом ATA или, если упрощенный шлюз ATA не развернут, они могут быть перенаправлены на шлюз ATA одним из двух способов: настроив шлюз ATA так, чтобы он прослушивал события SIEM, или настроив пересылку событий Windows.

Конфигурация WEF для шлюза ATA с зеркальным отображением портов

После настройки зеркального отображения портов с контроллеров домена в шлюз ATA выполните следующие инструкции, чтобы настроить пересылку событий Windows с помощью конфигурации, инициированной источником. Это один из способов настройки пересылки событий Windows.

Шаг 1. Добавьте учетную запись сетевой службы в группу читателей журналов событий домена.

В этом сценарии предположим, что шлюз ATA является членом домена.

1. Откройте Пользователи и компьютеры Active Directory, перейдите в папку BuiltIn и дважды щелкните Event Log Readers.
2. Выберите Участники.
3. Если сетевая служба не указана, выберите "Добавить", введите "Сетевая служба" в поле "Ввод имен объектов", чтобы выбрать поле. Затем нажмите кнопку "Проверить имена" и дважды нажмите кнопку "ОК ".

После добавления сетевой службы в группу читателей журналов событий перезагрузите контроллеры домена, чтобы изменения вступили в силу.

Шаг 2. Создайте политику на контроллерах домена, чтобы задать параметр "Настройка целевого диспетчера подписок".

1. Выполните следующую команду на каждом контроллере домена: быстрая настройка winrm

2. Из командной строки типа gpedit.msc.

3. Разверните Конфигурация компьютера > Административные шаблоны > Компоненты Windows > Пересылка событий

   

4. Дважды щелкните "Настройка целевого диспетчера подписок".

   1. Выберите "Включено".

   2. В разделе "Параметры" выберите "Показать".

   3. В разделе SubscriptionManagers введите следующее значение и нажмите кнопку ОК: Server=http://<fqdnATAGateway\>:5985/wsman/SubscriptionManager/WEC,Refresh=10

      (Например: Server=http://atagateway.contoso.com:5985/wsman/SubscriptionManager/WEC,Refresh=10)

      

   4. Нажмите кнопку "ОК".

   5. Из командной строки с повышенными привилегиями типа gpupdate /force.

Шаг 3. Выполните следующие действия в шлюзе ATA

1. Откройте командную строку с повышенными привилегиями и введите wecutil qc

2. Откройте средство просмотра событий.

3. Щелкните правой кнопкой мыши подписки и выберите "Создать подписку".

   1. Введите имя и описание подписки.

   2. Для журнала назначения убедитесь, что выбран параметр "Перенаправленные события ". Чтобы ATA считывала события, журнал назначения должен быть Пересланные события.

   3. Выберите исходный компьютер, инициированный и выберите "Выбрать группы компьютеров".

      1. Выберите "Добавить доменный компьютер".
      2. Введите имя контроллера домена в поле "Ввод имени объекта" для выбора поля. Затем нажмите кнопку "Проверить имена" и нажмите кнопку "ОК".
         
      3. Нажмите кнопку "ОК".

   4. Выберите "Выбрать события".

      1. Выберите "По журналам " и выберите "Безопасность".
      2. В поле "Включаемые и исключения идентификатора события" введите номер события и нажмите кнопку "ОК". Например, введите 4776, как показано в следующем примере.

      

   5. Щелкните правой кнопкой мыши созданную подписку и выберите состояние среды выполнения , чтобы узнать, возникли ли проблемы с состоянием.

   6. Спустя несколько минут проверьте, отображаются ли события, которые вы настроили на пересылку, в разделе Forwarded Events на шлюзе ATA.

Дополнительные сведения см. в статье "Настройка компьютеров для пересылки и сбора событий"

См. также

• Установка ATA
• Посетите форум ATA!