Windows Security Log

Конфигурация сбора данных содержит информацию о источнике Windows Security: модели данных, категоризации, фильтрации данных под формат ECS c помощью Smart Monitor Data Collector и настройка индекса Smart Monitor Data Storage.

Состав конфигурации сбора данных

1. dev - информация о источнике: модель данных, категоризация источника, а также примеры исходных событий и отфильтрованных;
2. integration - документация и конфигурационные файлы для интеграции с источником.

Техническая информация

Перед запуском pipeline в работу, рекомендуется создать в Smart Monitor Data Storage (Раздел Настройка сбора данных, Шаг 1. Настройка индекса Smart Monitor) соответствующие шаблоны для индексов:

Настройка сбора данных

Предварительные требования

Условные обозначения:

• ${LS_HOME} - путь установки Smart Monitor Data Collector, обычно это /app/logstash/;
• ${SBM_HOME} - путь установки Smart Beat Manager, обычно это /app/smartBeatManager/;
• LS_HOST - IP-адрес/DNS имя хоста, где установлен Logstash;
• OS_HOST - IP-адрес/DNS имя хоста, куда необходимо отправлять данные;
• LS_PORT - TCP/порт для отправки/сбора данных источника;
• ES_PWD - пароль от пользователя logstash, необходимо для подключения к Smart Monitor.

Инструкция

Шаг 1. Настройка индекса Smart Monitor

Необходимо создать шаблон индекса и после связать индекс с ISM.

Шаг 1.1. Настройка шаблон индекса

Выполните в консоли разработчика содержимое файла (sm_data_storage/template/cluster.json) для кластерной инсталляции или содержимое файла (sm_data_storage/template/single.json) для single-node кластера, более подробно с инструкцией можно ознакомиться в документации.

Если вы используете определенный контентый модуль, добавьте необходимые настройки для отображении информации от источника на соответствующих дашбордах:

• CyberSecurity - cs_auth_indexes (Аутентификация) и cs_iam_indexes (Управление УЗ);
• ActiveDirectory - sm_activedirectory_indexes.

  {
      ...
      "template": {
          "aliases": {
              "cs_auth_indexes": {},
              "cs_iam_indexes": {},
              "sm_activedirectory_indexes": {}
          }
      }
      ...
  }

Шаг 1.2. Настройка политики ISM

Настроить политику и прикрепить новый индекс к ней, с инструкцией по настройки политики ISM можно ознакомиться в документации.. Пример политики для источника для кластерной или single инсталляции Smart Monitor Data Storage представлены в директории sm_data_storage/ism.

Шаг 2. Настройка сбора данных на Smart Monitor Data Collector (Logstash)

Шаг 2.1. Собрать конфигурационый файл источника

Необходимо собрать пайплан из блоков input, filter и output, необходимые конфигурации предоставлены в директории logstash_pipelines. С инструкций создания типового пайплайна можно ознакомиться в документации

Конфигурационный файл использует следующие токены для корректной и безопасной работы, необходимо проверить и при необходимости добавить токены в logstash.keystore, инструкция по сохранению учетных данных для подключения к источникам.:

1. ES_PWD - пароль для пользователя logstash для подключения к Smart Monitor.

Конфигурационный файл Smart Monitor Data Collector(Logstash) имеет токены, которые необходимо заменить на определенные значения:

1. LS_PORT - расположен в секции input, является TCP/портом для приема данных от агента Smart Beat;
2. OS_HOST - расположен в секции output, является IP-адресом/DNS именем хоста, куда необходимо отправлять данные.
3. ${LS_HOME} - расположен в секции output, является абсолютном путем установки Logstash, обычно это /app/logstash//.

Шаг 2.2. Разместить и включить конфигурационный файл

После сбора полноценного конфигурационного файла (*.conf) и размещения в директорию "${LS_HOME}/config/conf.d/<PIPELINE_FILE>", необходимо настроить pipelines.yml, с инструкцией настройки файла можно ознакомиться в документации.

Шаг 2.3. Проверка корректного запуска

После перезагрузки службы Logstash необходимо проверить корректность запуска конфигурационного файла, в первую очередь необходимо проверить лог файлы Logstash и конфигурационного файла, с более подробной информацией можно ознакомиться в документации. Также в зависимости от выбранного Input файла нужно проверить корректность запуска:

• UDP, TCP, Syslog, Beats и другие плагины с использованием прослушивание порта - проверить на ВМ прослушивается ли порт и не закрыт ли порт firewall. Если firewall запущен и не настроен, необходимо настроить для приема данных, с инструкцией по настройке firewall можно ознакомиться в документации.

Шаг 3. Настройка сбора данных на SmartBeatManager

Шаг 3.1. Настройка и загрузка приложения

Конфигурационный файл ElasticBeat имеет токены, которые необходимо заменить на определенные значения:

1. LS_HOST - IP-адрес/DNS имя хоста Smart Monitor Data Collector (Logstash);
2. LS_PORT - TCP/порт для отправки данных.

Загрузите приложение из архива (SmartBeatManager/winlogbeat_security_log.tar.gz) в SmartBeatManager c помощью Web-интерфейса, с инструкцией можно ознакомится в документации.

Шаг 3.2. Настройка группы распределения приложения

Распределите новое приложение на агенты Smart Beat для сбора необходимой информации, с инструкцией по настройки группы можно ознакомиться в документации.

Настройка источника

Настройка журнала безопасности (Security) в Windows обеспечивает аудит важных событий (входы, доступ к файлам). Основные шаги: запуск eventvwr.msc, настройка размера (рекомендуется от 10240 КБ) и включение автоматического перезаписывания событий. Более тонкая настройка аудита производится через secpol.msc (Локальные политики).

1. Открытие журнала безопасности

1. Нажмите Win + R, введите eventvwr.msc и нажмите Enter.
2. Перейдите в Журналы Windows (Windows Logs) -> Безопасность (Security).

2. Настройка размера и поведения

1. Нажмите правой кнопкой мыши на журнал «Безопасность» и выберите Свойства.
2. Максимальный размер журнала (KB): Установите значение не менее 10240 КБ (10 МБ), для активных серверов — значительно больше (например, 4194240 КБ).
3. При достижении максимального размера:
   3. «Перезаписывать события по мере необходимости» (рекомендуется) — старые события удаляются при заполнении.
   4. «Архивировать журнал, не перезаписывать» — требует ручной очистки, но сохраняет все данные.
   5. «Не перезаписывать» — при переполнении аудит прекратится.
4. Нажмите ОК.

3. Настройка параметров аудита (что записывать)

1. Нажмите Win + R, введите secpol.msc (Локальная политика безопасности).
2. Перейдите: Параметры безопасности -> Локальные политики -> Политика аудита.
3. Настройте политику: Аудит входа в систему (успехи/отказы).
4. Для более детального контроля используйте Расширенную конфигурацию политики аудита.

4. Использование Групповых политик (для доменов)

В консоли управления групповыми политиками (GPMC) выберите OU, перейдите в Конфигурация компьютера -> Параметры Windows -> Параметры безопасности -> Локальные политики -> Параметры безопасности для настройки SDDL журнала.

5. Дополнительные параметры

События: Можно включить архивацию при заполнении или настроить удаленный сбор журналов (Windows Event Collection). Просмотр: Открывайте старые журналы через «Открыть сохраненный журнал».

Поток данных

Модель данных

Кто использует данные

Дашборды и правила