Microsoft DHCP content pack (контент багц)

← Контент багцууд

Microsoft DHCP content pack (контент багц)

DHCP нь сүлжээн дэх төхөөрөмжүүдэд IP хаяг болон бусад сүлжээний тохиргооны параметрүүдийг динамикаар олгоход ашиглагддаг сүлжээний протокол юм. Microsoft нь DHCP серверийн программ хангамжийг Windows Server үйлдлийн системийн бүрэлдэхүүн хэсэг болгон нийлүүлдэг.

Microsoft DHCP сервер нь сүлжээн дэх клиент төхөөрөмжүүдэд IP хаягийг автоматаар олгохыг удирдахаар зохиогдсон бөгөөд төхөөрөмж бүрийг гараар тохируулах шаардлагыг бууруулж, IP хаяглалтын схемийг тогтвортой, зөв байлгахад тусалдаг. DHCP серверийг Microsoft management console-оор удирдаж болох тул захиргааджилт, тохиргоо хялбар.

Энэхүү технологийн багц нь filebeat агентаар цуглуулсан Microsoft DHCP серверийн үйл явдлын логийг боловсруулна.

Дэмжигдэх хувилбарууд

Windows 2016, 2019, 2022.

Шаардлага

• Windows DHCP сервер
• Microsoft DHCP серверийн логийг Bitdefender Forwarder-ээр дамжуулан Security Data Lake-ийн Beats input руу илгээхээр Filebeat-ийг тохируулна.

Лог цуглуулалт

DHCP үйл ажиллагааны логийг текст засварлагчаар унших боломжтой бөгөөд C:\Windows\System32\DHCP хавтсанд хадгалагддаг. Долоо хоногийн өдөр бүрд лог үүсгэгдэж, нэр өгөгддөг.

Filebeat-ийн тохиргоо

Filebeat нь Windows серверээс Security Data Lake зэрэг алсын логжуулалтын систем рүү лог илгээхэд ашиглаж болох хөнгөн лог илгээгч юм.

1. Filebeat суулгах

elastic.co-оос Windows-д зориулсан Filebeat-ийг татаж аваад суулгана. Шаардлагатай хувилбарыг сонгон ZIP файлыг татна. Суулгах зааврыг албан ёсны баримт бичгээс үзнэ үү.

2. Security Data Lake дотор Beats input үүсгэх

Input үүсгэх, тохируулах талаар дэлгэрэнгүйг Beats Input хэсгээс үзнэ үү.

3. Filebeat-ийг тохируулах

DHCP логийг цуглуулахаар Filebeat-ийг тохируулна. Filebeat-ийн тохиргооны файл (filebeat.yml)-ийг засварлаж DHCP логийн байршил болон бусад хүссэн тохиргоог зааж өгнө. Энэ файлд Filebeat логийг хаашаа илгээх output-ыг мөн зааж өгөх ёстой.

Доорх жишээнд paths дор хавтас доторх бүх файлыг авахын тулд дараах мөрийг нэмсэн:

C:\Windows\System32\dhcp\*

fields хэсэг заавал байх ёстой, учир нь Security Data Lake логийг зөв stream рүү чиглүүлэхдээ энэ талбарт анхаарна.

Бид DHCP серверээсээ Bitdefender forwarder-ээр дамжуулан лог илгээх, логийг бүрэн оруулж, задлан шинжлэх боломжийг олгох filebeat.yml жишээ файлыг бэлтгэсэн. Жишээ нь DHCP ажиллуулж буй .yml файлд хамгийн багадаа шаардлагатай хэсгүүдийг харуулж байна. Та файлд нэмэлт тохиргоо оруулж болох боловч хоёр хэсэг (inputs ба output) хоёулаа байх ёстой.

# ============================== Filebeat inputs ===============================
filebeat.inputs:
# Each - is an input. Most options can be set at the input level, so
# you can use different inputs for various configurations.
# Below are the input specific configurations.
# filestream is an input for collecting log messages from files.
- type: filestream

  # Unique ID among all inputs, an ID is required.
  id: <my-filestream-id>

  # Change to true to enable this input configuration.
  enabled: true

  # Paths that should be crawled and fetched. Glob based paths.
  paths:
    - C:\Windows\System32\dhcp\*

  # Set the event_source_product field to microsoftdhcp
  fields:
     event_source_product: microsoft_dhcp
  fields_under_root: true

# ------------------------------ Logstash Output -------------------------------
output.logstash:
  # The host IP and beats input
  hosts: ["<your_forwarder_ip>:5044"]

Filebeat-ийг эхлүүлэх

DHCP логийг цуглуулж, илгээж эхлэхийн тулд Windows сервер дээр Filebeat-ийг service болгон эхлүүлнэ. Үүний тулд command prompt нээж дараах командыг оруулна:

Start-Service filebeat

Service ажиллаж эхэлсний дараа лог илгээж эхлэхийн тулд дараах командыг оруулна:

.\filebeat.exe -c filebeat.yml

Одоо таны логууд Security Data Lake руу орж, амжилттай задлан шинжлэгдэж байгааг харах ёстой.

Stream-ийн тохиргоо

Энэ технологийн багц нэг stream агуулна:

"Illuminate:Windows Event Log Messages"

Index set-ийн тохиргоо

Энэ технологийн багц нэг index set тодорхойлолт агуулна:

"Windows Event Log Messages"

Лог форматын жишээ

12,01/30/23,15:27:28,Release,192.168.1.11,DESKTOP-P423Q1J,C025A54DB363,,3451374721,0,,,,,,,,,0

Юу багтсан бэ

Microsoft DHCP лог мессежийг нормчилж, баяжуулах задлан шинжлэх дүрмүүд.

Бид дараах event ID-уудыг дэмжинэ:

Энэ технологийн багцаар боловсруулагдах үйл явдлууд

Microsoft DHCP контент багц нь DHCP түрээсийн (leasing) үйл явдлуудыг, бүх талбарын задлан шинжилгээг, мөн түрээсийн Release, Renew, Assign үйл явдлуудын GIM ангиллыг дэмжинэ.