Set-AuditRule

Ein Repository mit nützlichen Access Control Entries (ACE), die der System Access Control List (SACL) eines Sicherheitsdeskriptors eines sicherbaren Objekts hinzugefügt werden können, um potenzielle gegnerische Aktivitäten zu überwachen. Diese Einträge werden nach bestimmten sicherbaren Objekten wie Dateien, Registrierungsschlüsseln und Active Directory-Objekten kategorisiert. Darüber hinaus enthält dieses Projekt ein PowerShell-Skript, das Ihnen hilft, die Überwachungsregeln programmatisch und skalierbar festzulegen. Das Skript nutzt außerdem PowerShell-Dynamische Parameter, um Auto-Vervollständigungsfunktionen bereitzustellen und die für jedes Flag benötigten Werte direkt aus den Zugriffssteuerungs- und Verzeichnisdienstklassen zu liefern.

Ziele

• Dokumentieren nützlicher Überwachungsregeln zur Überwachung und Erkennung potenzieller Gegner, die auf bestimmte sicherbare Objekte zugreifen
• Beschleunigung der Entwicklung und Bereitstellung von Überwachungsregeln in Netzwerkumgebungen
• Testen des Volumens von Überwachungsregeln und Teilen der Ergebnisse mit der Community
• Zuordnung von Überwachungsregeln zu gegnerischen Werkzeugen
• Lernen über System Access Control Lists (SACL)
• Lernen über PowerShell Dynamische Parameter
• Lernen über Microsoft Security Access Control-Klassen

Referenzen

• Access Control Namespace
• Registry Access Control Rights
• Files Access Control Rights
• Well Known Sid Types
• Security Descriptor

Autoren

• Roberto Rodriguez @Cyb3rWard0g

Mitwirken

Wenn Sie eine Überwachungsregel haben, die Sie in Ihrer Umgebung für nützlich halten, um potenzielle gegnerische Aktivitäten zu überwachen und zu erkennen, und diese mit der Community teilen möchten, können Sie gerne einen PR eröffnen!

Lizenz: GPL-3.0

Set-AuditRule's GNU General Public License