blackhillsinfosec/eventloggingWindows Event Forwarding, Sysmon, और Active Directory वातावरण में कस्टम ऑडिट नीतियों को तैनात करने के लिए स्वचालन स्क्रिप्ट्स।
यह रेपो अप्रैल 2024 से अब अनुरक्षित नहीं है।
BHIS
यह रेपो अप्रैल 2024 से अब अनुरक्षित नहीं है।
यह रेपो इवेंट लॉगिंग स्थापित करने हेतु मार्गदर्शन प्रदान करता है। यह मार्गदर्शन अनुभागों में विभाजित है, रक्षात्मक तैयारी स्थिति (DEFCON), और इसे 5 (न्यूनतम) से 1 (उच्चतम) तक लागू करने का इरादा है।
| तैयारी की स्थिति | विवरण | तैयारी स्थिति विशेषताएँ |
|---|---|---|
| DEFCON 1 | उल्लंघन आसन्न या हो चुका | फोरेंसिक इमेजिंग; ब्लॉकिंग तकनीकें/उपकरण (सर्वर, वर्कस्टेशन और नेटवर्क) |
| DEFCON 2 | उन्नत उपाय | इवेंट अग्रेषण (वर्कस्टेशन); थ्रेट हंटिंग |
| DEFCON 3 | बढ़े हुए उपाय | इवेंट अग्रेषण (सदस्य सर्वर/ऐप्स); नेटवर्क डिवाइस लॉगिंग; Sysmon/EDR |
| DEFCON 4 | वर्धित सुरक्षा उपाय | ऑडिट नीतियाँ; इवेंट अग्रेषण (डोमेन नियंत्रक); नेटवर्क निगरानी; केंद्रीकृत लॉग |
| DEFCON 5 | डिफ़ॉल्ट कॉन्फ़िगरेशन | सामान्य (Vanilla) OS/ऐप/डिवाइस लॉगिंग; कोई केंद्रीकृत लॉग नहीं |
इस परियोजना पर प्रारंभिक कार्य Windows पर केंद्रित होगा।
स्क्रिप्ट्स को पहले DEFCON 4, फिर DEFCON 3 और उसके बाद DEFCON 2 चलाने के लिए डिज़ाइन किया गया है। प्रत्येक DEFCON में DC पर बदलाव करने के लिए एक स्क्रिप्ट होती है; ये स्क्रिप्टें आपके डिप्लॉयमेंट में अतिरिक्त कार्यक्षमता जोड़ती हैं और दृश्यता बढ़ाती हैं। इन स्क्रिप्ट्स को चलाने से पहले ध्यान से समीक्षा करें, क्योंकि कुछ बदलाव एक बार करने के बाद वापस करना कठिन होता है। DEFCON 3 में Windows के लिए Sysmon स्थापित करने की एक स्क्रिप्ट भी शामिल है। यह स्क्रिप्ट DC से चलाई जानी चाहिए, क्योंकि यह डिप्लॉयमेंट के लिए उपयोग होने वाला GPO आयात करेगी।
डिप्लॉयमेंट से पहले, आपको यह निर्धारित करना होगा कि आपको कितने WECs की आवश्यकता होगी और उनका FQDN होस्टनाम क्या होगा। इन होस्ट्स को बेस Windows सर्वर मशीनों के रूप में कॉन्फ़िगर किया जाना चाहिए, जिनमें सभी वर्तमान अपडेट हों; Windows Server 2016 या उच्चतर अनुशंसित है। फिर आप DEFCON4 में पाई जाने वाली WEC-Configurator.ps1 स्क्रिप्ट के माध्यम से सर्वर को WEC में बदल देंगे।
स्क्रिप्ट्स चलाने से पहले निम्नलिखित फ़ाइलों को बदलें।
फ़ाइलों को संपादित करने के बाद आप स्क्रिप्ट्स को संबंधित होस्ट पर चला सकते हैं। DC स्क्रिप्ट्स GPOs आयात करेंगी। सिस्टम के काम करने के लिए इन GPOs को अभी भी सही OU से लिंक किया जाना चाहिए। अनुशंसित GPO लिंक नीचे दिए गए हैं।
GNUv3 - लाइसेंस
यह रेपो अप्रैल 2024 से अब अनुरक्षित नहीं है।
