Questa è un'altra guida sulla corretta configurazione e sul monitoraggio dei log eventi di Windows, con particolare attenzione alla registrazione per le regole sigma.

Questo è un lavoro in corso, quindi controlla periodicamente gli aggiornamenti.

TLDR

• Con le impostazioni di controllo predefinite di Windows è possibile utilizzare solo circa il 10~20% delle regole di rilevamento di sigma.
• Anche se un log di Windows è abilitato, per impostazione predefinita la dimensione massima dei log è compresa tra 1~20 MB, quindi c'è una buona probabilità che le prove vengano rapidamente sovrascritte.
• Abilita le impostazioni di controllo appropriate con YamatoSecurityConfigureWinEventLogs.bat o WELA (Windows Event Log Auditor) per utilizzare fino a circa il 75% delle regole sigma e conservare i log per tutto il tempo necessario.
  • Avvertenza: assicurati di personalizzare lo script in base alle tue esigenze e di testarlo prima dell'uso in produzione!
• Installa sysmon per una copertura completa. (Altamente consigliato!)

Progetti correlati

• Hayabusa - threat hunting basato su sigma e generatore di timeline forensi veloci per i log eventi di Windows.
• Hayabusa Rules - regole di rilevamento per hayabusa.
• Hayabusa Sample EVTXs - file evtx di esempio da utilizzare per testare le regole di rilevamento hayabusa/sigma.
• Takajo - analizzatore dei risultati di hayabusa.
• WELA (Windows Event Log Auditor) - uno strumento per controllare le impostazioni dei log eventi di Windows.

Indice

• TLDR
• Progetti correlati
• Indice
• Autore
• Contributori
• Riconoscimenti
• Problemi con le impostazioni predefinite dei log di Windows
• Avvertenza: apporta modifiche ai tuoi sistemi a tuo rischio!
• Log eventi di Windows importanti
  • Principali fonti di log di Sigma
    • Principali fonti di log di sigma
    • Principali ID evento di sicurezza
• Aumentare la dimensione massima del file
  • Opzione 1: manualmente tramite Visualizzatore eventi
  • Opzione 2: strumento integrato di Windows
  • Opzione 3: PowerShell
  • Opzione 4: Criteri di gruppo
• Script di configurazione
• Configurazione delle impostazioni dei log
  • Log Sysmon (1382 regole sigma)
  • Log di sicurezza (1045 regole sigma (903 regole di creazione processi + 142 altre regole))
  • Log di PowerShell (175 regole sigma)
    • Registrazione dei moduli (30 regole sigma)
      • Abilitazione della registrazione dei moduli
        • Opzione 1: abilitazione tramite Criteri di gruppo
        • Opzione 2: abilitazione tramite registro di sistema
    • Registrazione dei blocchi di script (134 regole sigma)
      • Abilitazione della registrazione dei blocchi di script
      • Opzione 1: abilitazione tramite Criteri di gruppo
      • Opzione 2: abilitazione tramite registro di sistema
    • Registrazione della trascrizione
      • Abilitazione della registrazione della trascrizione
        • Opzione 1: abilitazione tramite Criteri di gruppo
        • Opzione 2: abilitazione tramite registro di sistema
    • Riferimenti
  • Log di sistema (55 regole sigma)
  • Log applicazioni (16 regole sigma)
  • Log operativo di Windows Defender (10 regole sigma)
  • Log operativo Bits-Client (6 regole sigma)
  • Log del firewall (6 regole sigma)
  • Log operativo NTLM (3 regole sigma)
  • Log KernelMode e UserMode di Security-Mitigations (2 regole sigma)
  • Log PrintService (2 regole sigma)
    • Admin (1 regola sigma)
    • Operativo (1 regola sigma)
  • Log di sicurezza SMBClient (2 regole sigma)
  • Log AppLocker (1 regola sigma)
  • Log operativo CodeIntegrity (1 regola sigma)
  • Log operativo Diagnosis-Scripted (1 regola sigma)
  • Log operativo DriverFrameworks-UserMode (1 regola sigma)
  • Log operativo WMI-Activity (1 regola sigma)
  • Log operativo TerminalServices-LocalSessionManager (1 regola sigma)
  • Log operativo TaskScheduler (1 regola sigma)

Autore

Zach Mathis (@yamatosecurity). Man mano che svolgo ulteriori ricerche e test, intendo aggiornare periodicamente questo documento poiché c'è molto margine di miglioramento (sia nella documentazione che nella creazione di ulteriori regole di rilevamento). Le PR sono benvenute e ti aggiungerò volentieri come contributore. Se trovi errori in questa documentazione, per favore fammelo sapere e li correggerò il prima possibile.

Se trovi utile tutto questo, per favore lascia una stella su GitHub, probabilmente mi aiuterà a motivarmi a continuare ad aggiornare questo progetto.

Contributori

• DustInDark (hitenkoku): correzioni della traduzione giapponese.
• Fukusuke Takahashi (fukusuket): traduzioni e correzioni giapponesi.
• LasseKrache: segnalazione di un bug nello script batch.

Riconoscimenti