Slovník událostí zabezpečení Windows
Zadejte číslo události, kód stavu nebo vložte celý záznam z Prohlížeče událostí či SIEM a nástroj vysvětlí, co se stalo, jak vážné to podle Microsoftu může být a jaký byl typ přihlášení.
Jak nástroj použít
- Zkopírujte z Prohlížeče událostí (protokol Zabezpečení), ze SIEM nebo z exportu číslo události – případně celý záznam včetně XML.
- Vložte ho do pole a klikněte na Vyhledat. Můžete zadat i víc čísel najednou nebo slovo, třeba „úloha“ či „skupina“. Události Sysmonu najdete zadáním „sysmon“ a čísla, třeba „sysmon 1, 3, 22“.
- Nástroj ukáže, co událost znamená, její potenciální závažnost a skupinu. Ze záznamu vytáhne i kódy Status / Sub Status a typ přihlášení.
- Bez zadání klikněte na Zobrazit celý slovník – události jsou seřazené podle skupin (přihlášení, účty, skupiny, procesy, zásady…).
Jak to funguje
Protokol Zabezpečení ve Windows zapisuje každou událost pod číslem (Event ID). Při analýze incidentu nebo ladění pravidel v SIEM se pořád dokola řeší tytéž otázky: co znamená 4648, jaký je rozdíl mezi 4624 a 4672, co je typ přihlášení 10 a proč u neúspěšného přihlášení stojí kód 0xC000006A. Nástroj odpovídá na všechny najednou.
Co nástroj umí:
- Události – popis podle dokumentace Microsoftu, skupina a potenciální závažnost z doporučení Microsoftu (vysoká, střední až vysoká, střední, nízká).
- Starší ID – čísla z Windows XP a Serveru 2003 (například 528, 529–537) převede na dnešní události.
- Typy přihlášení – hodnoty pole Logon Type v událostech 4624 a 4625, od 2 (přímo u počítače) přes 3 (ze sítě) po 10 (Vzdálená plocha).
- Kódy Status / Sub Status – nejčastější důvody neúspěšného přihlášení u 4625, které Microsoft doporučuje sledovat.
- Sysmon – všech 30 událostí nástroje Sysmon (spuštění procesu, síťové spojení, přístup k lsass.exe, dotazy DNS, WMI…) s názvem filtru pro konfiguraci a upozorněním, které jsou ve výchozím stavu vypnuté. Zadejte „sysmon“ a čísla nebo vložte záznam z protokolu Sysmon/Operational.
Do pole můžete vložit i celý záznam, třeba XML z karty Podrobnosti v Prohlížeči událostí. Nástroj z něj vybere jen čísla, která ve slovníku zná, takže se nenechá zmást čísly portů nebo procesů.
Časté otázky
Odesílá se vložený záznam někam?
Ne. Slovník je součástí skriptu a hledá se přímo ve vašem prohlížeči, nic se neodesílá ani neukládá. Záznamy z logů přesto obsahují jména účtů a adresy – do cizích nástrojů je vkládejte jen tehdy, když jim věříte.
Co znamená potenciální závažnost?
Přebíráme ji z doporučení Microsoftu (Appendix L: Events to Monitor). Vysoká znamená, že už jeden výskyt by se měl prošetřit. Střední a nízká se mají prošetřovat, jen když přijdou nečekaně nebo výrazně častěji než v běžném provozu. Microsoft zároveň upozorňuje, že i události s vysokou závažností mohou mít neškodnou příčinu, a doporučuje pravidla nejdřív otestovat ve vlastním prostředí.
Proč v mém protokolu Zabezpečení některé události chybí?
Spousta událostí vzniká jen při zapnutém auditu. Podle Microsoftu se výchozí nastavení liší podle verze a edice Windows a řada zásad auditu je ve výchozím stavu nekonfigurovaná. Audit nastavíte v Zásadách skupiny v části Konfigurace počítače → Nastavení zabezpečení → Konfigurace rozšířených zásad auditu.
Kde vznikají události 4624 a 4625?
Událost 4624 (úspěšné přihlášení) se podle Microsoftu zapisuje na počítači, ke kterému se přihlašuje a kde vznikla relace. Událost 4625 (neúspěšné přihlášení) vzniká na počítači, kde k pokusu došlo – na řadičích domény, členských serverech i pracovních stanicích. Pro hledání útoku z jedné stanice na druhou proto potřebujete logy z cílových počítačů.
Co znamenají starší ID jako 528 nebo 540?
Windows XP a Windows Server 2003 používaly jiná čísla událostí. Microsoft u každé dnešní události uvádí, které starší ID jí odpovídá – například dnešní 4624 nahradila 528 a 540. Nástroj starší ID pozná a ukáže k němu dnešní událost.
Jak nástroj pozná, že jde o událost Sysmonu?
Sysmon zapisuje do vlastního protokolu Microsoft-Windows-Sysmon/Operational a jeho čísla 1–29 a 255 by se jinak pletla s běžnými čísly v textu. Proto je nástroj hledá, jen když vstup obsahuje slovo Sysmon – v XML záznamu ho obsahuje název poskytovatele Microsoft-Windows-Sysmon. Ze záznamu pak bere jen hodnotu EventID, ne čísla verze, úrovně nebo úlohy.
Proč v logu Sysmonu nevidím síťová spojení nebo načtené knihovny?
Podle Microsoftu jsou síťová spojení (ID 3) a načtení modulů (ID 7) ve výchozím stavu vypnutá a zapínají se konfigurací. Načítání modulů a přístup k procesům (ID 10) vytváří bez filtrů velké množství záznamů, proto je Microsoft doporučuje zapínat jen s filtry, které vyřadí očekávané případy.
Obsahuje slovník všechny události Windows?
Ne. Obsahuje vybrané události zabezpečení z doporučení Microsoftu, které se v praxi SOC řeší nejčastěji. Úplný seznam událostí zabezpečení vypíše na Windows příkaz wevtutil gp Microsoft-Windows-Security-Auditing /ge /gm:true. Navíc obsahuje všechny události Sysmonu, které Microsoft popisuje (1–29 a 255).
Zdroje
Aktualizováno