Sysmon content pack (контент багц)

← Контент багцууд

Sysmon Content Pack

Microsoft Sysmon нь Windows системүүд дээр суулгаж, системийн аюулгүй байдлын хяналт хийхэд онцгой сонирхол татах үйл явдлуудын талаар баялаг мэдээлэл өгөхөөр тохируулж болдог үнэгүй agent юм. Энэ technology pack нь Sysmon-ийн сүүлийн болон одоогийн хувилбаруудын үүсгэсэн бүх Sysmon үйл явдлын лог мессежийг боловсруулна. Энэ technology pack нь Sysmon логуудыг боловсруулж, чухал үйл явдлуудыг normalize хийж, баяжуулна.

Дэмжигдэх хувилбарууд

Sysmon 12 болон түүнээс хойших хувилбар.

Stream-ийн тохиргоо

Энэ technology pack нь нэг stream агуулна:

"Illuminate:Sysmon;Messages" — Sysmon үйл явдлын логоос цуглуулсан бүх үйл явдлыг агуулна.

Index set-ийн тохиргоо

Энэ technology pack нь нэг index set тодорхойлолт агуулна:

"Sysmon Event Log Messages" — Windows Sysmon үйл явдлын логийн бүх мессежийг агуулна.

Шаардлага

Sysmon үйл явдлын логуудыг Winlogbeat 7.x эсвэл NXLog 2.10, 3.0 эсвэл 3.1-ээр дамжуулан Bitdefender Forwarder-ээр Security Data Lake руу хүргэнэ.

Лог хүргэлтийн тохиргоо

Лог хүргэх agent (Winlogbeat эсвэл NXLog) нь Windows event log үйлчилгээнээс Sysmon үйл явдлуудыг цуглуулахаар тохируулагдсан байх ёстой. Доор жишээнүүдийг өгөв. Гэхдээ лог хүргэх agent-ийг өөрийн шаардлагад нийцүүлэн зөв тохируулахын тулд тухайн agent-ийн тохиргооны баримт бичгийг харна уу.

Agent-ийн тохиргоо - Winlogbeat 7.x

Winlogbeat-ийн тохиргооны event_logs: хэсэгт дараах мөрийг нэмнэ:

name: Microsoft-Windows-Sysmon/Operational

Winlogbeat ашиглахад Security Data Lake дотор Beats input тодорхойлсон байх шаардлагатай гэдгийг анхаарна уу. Дэлгэрэнгүйг Beats Input хэсгээс харна уу.

Agent-ийн тохиргоо - NXLog 2.10, 3.0 эсвэл 3.1

NXLog-ийн QueryXML хэсэгт дараахыг нэмнэ:

<Select Path='Microsoft-Windows-Sysmon/Operational'>*</Select>

NXLog ашиглахад Security Data Lake дотор GELF TCP input тодорхойлсон байх шаардлагатай гэдгийг анхаарна уу. Дэлгэрэнгүйг GELF хэсгээс харна уу.

Доорх жишээ нь Sysmon (Security, Application, System, Powershell)-ийн ажиллах тохиргооны файлыг харуулна.

Энэ тохиргоо нь NXLog 3.x-ийг анхдагч хавтас биш, C:\Program Files (x86)\nxlog хавтаст суулгасан байхыг шаарддаг.

Host болон Port нь жишээ утгууд; өөрийн Bitdefender Forwarder-ийн утгыг ашиглана.

define ROOT C:\Program Files (x86)\nxlog

Moduledir %ROOT%\modules
CacheDir %ROOT%\data
Pidfile %ROOT%\data\nxlog.pid
SpoolDir %ROOT%\data
LogFile %ROOT%\data\nxlog.log
LogLevel INFO

<Extension logrotate>
    Module  xm_fileop
    <Schedule>
        When    @daily
        Exec    file_cycle('%ROOT%\data\nxlog.log', 7);
     </Schedule>
</Extension>

<Extension gelfExt>
  Module xm_gelf
  # Avoid truncation of the short_message field to 64 characters.
  ShortMessageLength 65536
</Extension>

<Input eventlog>
        Module im_msvistalog
        PollInterval 1
        SavePos False
        ReadFromLast True
    <QueryXML>
        <QueryList>
            <Query Id='1'>
                <Select Path='Security'>*</Select>
                <Select Path="Application">*</Select>
                <Select Path="System">*</Select>
                <Select Path="Microsoft-Windows-PowerShell/Operational">*</Select>
                <Select Path='Microsoft-Windows-Sysmon/Operational'>*</Select>
            </Query>
        </QueryList>
    </QueryXML>
</Input>

<Output gelf>
Module om_tcp
Host 192.168.122.40
Port 12244
OutputType  GELF_TCP
<Exec>
 # These fields are needed for Security Data Lake
 $gl2_source_collector = '${sidecar.nodeId}';
 $collector_node_id = '${sidecar.nodeName}';
</Exec>
</Output>

<Route route-1>
  Path eventlog => gelf
</Route>>

Юу багтсан бэ

• Sysmon логуудыг Security Data Lake схемтэй нийцэх талбар болгон гаргах задлан шинжлэх (parsing) дүрмүүд
• Security Data Lake Information Model-ийн мессежийн ангилал
• Illuminate spotlight

Энэ technology pack-ийн боловсруулдаг үйл явдлууд

Sysmon technology pack нь Sysmon-ийн бүх event ID-г боловсруулна.