Set-AuditRule

Репозиторий полезных записей управления доступом (ACE), которые могут быть добавлены в системный список управления доступом (SACL) дескриптора безопасности защищаемого объекта для мониторинга потенциальной враждебной активности.
Эти записи сгруппированы по конкретным защищаемым объектам, таким как файлы, ключи реестра и объекты Active Directory.
Кроме того, этот проект включает скрипт PowerShell, который поможет вам программно устанавливать правила аудита в масштабе.
Скрипт также использует динамические параметры PowerShell для обеспечения возможностей автозаполнения и предоставления значений, необходимых для каждого флага, непосредственно из классов управления доступом и службы каталогов.

Цели

• Документировать полезные правила аудита для мониторинга и обнаружения потенциальных злоумышленников, получающих доступ к конкретным защищаемым объектам
• Ускорить разработку и развертывание правил аудита в сетевых средах
• Проверить объем правил аудита и поделиться результатами с сообществом
• Сопоставить правила аудита с инструментарием злоумышленников
• Изучить системные списки управления доступом (SACL)
• Изучить динамические параметры PowerShell
• Изучить классы управления доступом безопасности Microsoft

Ссылки

• Access Control Namespace
• Registry Access Control Rights
• Files Access Control Rights
• Well Known Sid Types
• Security Descriptor

Авторы

• Roberto Rodriguez @Cyb3rWard0g

Участие

Если у вас есть правило аудита, которое, по вашему мнению, полезно в вашей среде для мониторинга и обнаружения потенциальной враждебной деятельности, и вы хотите поделиться им с сообществом, не стесняйтесь открывать PR!

Лицензия: GPL-3.0

Set-AuditRule's GNU General Public License