yamato-security/enablewindowslogsettingsWindowsイベントログを適切に有効化するためのドキュメントとスクリプト。
Windowsのイベントログの設定と監視に関するガイドで、Sigmaルールが何かを検出するために、また正しいDFIR調査のために適切なログを有効にすることに重点を置いています。
田中ザック (Zaku / @yamatosecurity)。 より多くの研究とテストを行い、(検知ルールとドキュメンテーションの)改善の余地があるため、定期的に更新していく予定です。 PRは歓迎され、喜んでコントリビューターとして追加させていただきます。
もし、このガイドが役に立つのであれば、GitHubで星を付けてください。更新し続けるモチベーションが上がります。
多くの情報はマイクロソフトの詳細なセキュリティ監査に関するFAQ, sigmaルール, ACSCのガイド、そして私自身の調査/テストから得たものです。特にSigmaコミュニティには、世の中のすべての防衛者のために脅威検知能力をオープンソースかつフリーにしてくれたことに感謝しています。
デフォルトでは、Windows は悪意のあるアクティビティの検出と、フォレンジック調査の実行に必要な多くのイベントをログに記録しません。
また、イベントファイルのデフォルトの最大サイズは、クラッシックイベントログ(Security、System、Application)ではわずか20MB、PowerShellでは15MB、その他のほとんどすべてのログではわずか1MBであるため、証拠がすぐ上書きされる可能性が高くなります。
システム管理者が Windows端末を簡単に設定できるように、このリポジトリにはシンプルなバッチスクリプトが用意されており、インシデントが発生したときに必要なログを取得できます。
大規模なネットワークの場合は、このドキュメントを参照として使用し、グループポリシーやInTuneを使用して端末を設定することをお勧めします。
Windowsのデフォルトのイベントログ設定を改善することを強く推奨します。設定を改善することで最も正確な情報を提供できるようになります。 しかし、あまりにも多くのログを有効にすることによる悪影響や、このリポジトリ内の何かの正確性について、一切の責任を負いません。 本番環境に導入する前に、設定変更を十分理解した上で、テスト端末で十分テストすることは、システム管理者の責任です。 環境を模倣したテスト端末で、少なくとも1週間はできるだけ多くのログ記録を有効にしてから、ノイズが多すぎるイベントがないか、必要なイベントが記録されているかどうかを確認することをお勧めします。
HayabusaのイベントID集計機能を使用して、evtxファイル内のイベントIDの総数と割合を確認できます。
例：hayabusa.exe eid-metrics -f path/to/Security.evtx
Process Creation(プロセス作成)のイベントで、システムで実行されているプロセスを追跡するものです。
現在、Sigmaルールの約半分がこのイベントに依存しています。
Sysmonをインストールして、イベントID1を有効にするか、ビルトインログ (SecurityイベントID4688)を有効にすることで記録できます。
Sysmon 1に、実行ファイルのハッシュ値やメタデータなどの詳細情報も記録されるので理想的ですが、Sysmonをインストールできない場合は、WindowsのビルトインログのSecurity 4688が使えます。
ただし、多くの検知ルールがコマンドライン情報にあるシグネチャを探すため、コマンドライン情報も記録されるように設定すべきです。
残念ながらSecurity 4688は、Sysmonプロセス作成ログほど詳細な情報は記録されないので、Security 4688に対応していないProcess Creation検知ルールもあります。
デフォルトのWindows監査設定で使用できるSigmaルールは、約10〜20%です。
