Audix

_______       _____________          
___    |___  _______  /__(_)___  __  
__  /| |  / / /  __  /__  /__  |/_/  
_  ___ / /_/ // /_/ / _  / __>  <    
/_/  |_\__,_/ \__,_/  /_/  /_/|_| 

هي أداة PowerShell لتكوين سياسات تدقيق أحداث Windows بسرعة لأغراض المراقبة والاستجابة للحوادث.

يرجى ملاحظة: هذه الأداة ستغير فقط سياسة الأمان المحلية. إذا تم تطبيقها على مضيف يحتوي على إعداد GPO، فمن الأفضل استخدام نفس الإعدادات في ملف تعريف سياسة المجموعة الافتراضي بحيث تحصل جميع الأنظمة على نفس التهيئة. إذا لم يتم تغيير ملف تعريف GPO ليتوافق مع هذه الإعدادات، فإن فرض GPO سيؤدي إلى تجاوزها.

ستتيح Audix التكوين البسيط لسياسات تدقيق أحداث Windows. سياسات التدقيق في Window مقيدة بشكل افتراضي. وهذا يعني أنه بالنسبة لمستجيبي الحوادث، وأعضاء الفريق الأزرق، ومسؤولي أمن المعلومات، والأشخاص الذين يتطلعون إلى مراقبة بيئتهم من خلال استخدام سجلات أحداث Windows، يجب عليهم تكوين إعدادات سياسة التدقيق لتوفير تسجيل أكثر تقدماً.

تهدف هذه الأداة إلى التقاط إعداد سياسة التدقيق الحالي، وإجراء نسخ احتياطي له (في حالة الحاجة إلى استعادة الحالة السابقة)، وتطبيق إعداد سياسة تدقيق أكثر تقدماً للسماح بقدرة أفضل على الكشف. بالإضافة إلى ذلك، ستقوم بفرض الفئات الفرعية لسياسة التدقيق لضمان استمرار هذه الإعدادات المتقدمة. يوجد أيضاً إعداد لضبط حد حجم التسجيل.

بعض الأمثلة على إعدادات السياسة المفعلة التي ستفعلها Audix:

• معرف الحدث: 4698-4702 (تم إنشاء مهمة مجدولة / تحديثها / تعطيلها)
• معرف الحدث: 4688 (تم إنشاء عملية جديدة)

تشغيل Audix

قم باستنساخ المستودع باستخدام Git

انتقل إلى المجلد ونفذ الأمر في الطرفية الخاصة بك. يجب التأكد من أن لديك صلاحيات المسؤول للقيام بذلك.

.\Audix.ps1

التطوير

• سأقوم بإضافة هذه الإعدادات كأولوية:
  • زيادة حد حجم التسجيل ✓ (تم)
  • فرض إعداد الفئة الفرعية لسياسة التدقيق ✓ (تم)
• إضافة خيار الاستعادة
• تهيئة إعدادات GPO