0x0v1/audixAudix es una herramienta de PowerShell para configurar rápidamente las políticas de auditoría de eventos de Windows para la monitorización de seguridad.
___ |___ _______ /__(_)___ __
__ /| | / / / __ /__ /__ |/_/
_ ___ / /_/ // /_/ / _ / __> <
/_/ |_\__,_/ \__,_/ /_/ /_/|_|
es una herramienta de PowerShell para configurar rápidamente las políticas de auditoría de eventos de Windows para monitoreo y respuesta a incidentes.
Por favor, tenga en cuenta: Esta herramienta solo cambiará la política de seguridad local. Si se aplica a un host con una configuración de GPO, es mejor usar los mismos ajustes en un perfil de directiva de grupo predeterminado para que todos los sistemas obtengan la misma configuración. Si el perfil de GPO no se modifica para cumplir con estos ajustes, una actualización forzada de GPO lo sobrescribirá.
Audix permitirá la configuración SIMPLE de las políticas de auditoría de eventos de Windows. Las políticas de auditoría de Windows están restringidas de forma predeterminada. Esto significa que para los respondedores de incidentes, miembros del equipo azul, CISOs y personas que buscan monitorear su entorno mediante el uso de registros de eventos de Windows, deben configurar los ajustes de la política de auditoría para proporcionar un registro más avanzado.
Esta utilidad tiene como objetivo capturar la configuración actual de la política de auditoría, realizar una copia de seguridad de la misma (en caso de que sea necesario restaurar el estado anterior) y aplicar una configuración de política de auditoría más avanzada para permitir una mejor capacidad de detección. Además, aplicará las subcategorías de la política de auditoría para garantizar que estos ajustes avanzados persistan. También hay una opción para ajustar el límite de tamaño del registro.
Algunos ejemplos de configuraciones de políticas habilitadas que Audix activará:
-ID de evento: 4698-4702 (Se ha creado/actualizado/deshabilitado una tarea programada)
-ID de evento: 4688 (Se ha creado un nuevo proceso).
Clone el repositorio con Git
Navegue hasta la carpeta y ejecute el comando en su terminal. Debe asegurarse de tener derechos de administrador para hacerlo.
.\Audix.ps1