Windows AppLocker content pack (контент багц)

← Контент багцууд

Windows AppLocker content pack

Windows AppLocker нь байгууллагуудад хэрэглэгчид ямар аппликейшн, файл ажиллуулж болохыг (executable, dynamic-link library, script, installer, packaged application зэрэг) хянахад тусалдаг, заавал биш (optional) аюулгүй байдлын боломж юм.

Дэмжигдэх хувилбарууд

Windows 8 болон түүнээс хойших хувилбар. Гэхдээ Windows 10 эсвэл 11, эсхүл Server 2022+ хувилбарыг ашиглахыг зөвлөж байна.

Шаардлага

AppLocker бодлогуудыг идэвхжүүлж, дүрмүүдийг Group Policy эсвэл Local Security Policy-ээр үүсгэсэн байх ёстой.

Stream-ийн тохиргоо

Энэ technology pack нь нэг stream агуулна:

"Illuminate:Windows AppLocker Event Log Messages"

Index set-ийн тохиргоо

Энэ technology pack нь нэг index set тодорхойлолт агуулна:

"Windows AppLocker Event Log Messages"

Лог цуглуулах

Дараах лог хүргэх agent-уудыг дэмжинэ:

• Winlogbeat
• NXLog Enterprise Edition
• NXLog Community Edition (хязгаарлагдмал дэмжлэг)

Bitdefender Sidecar-ийн тохиргооны жишээ

Bitdefender Sidecar-ийг тохируулах дэлгэрэнгүй мэдээллийг Sidecars хэсгээс харна уу.

1. 1
   Security Data Lake дотор Winlogbeat-д зориулж Beats input, эсвэл NXLog-д зориулж GELF TCP input үүсгэнэ. Beats input руу илгээхдээ Do not add Beats type as prefix сонголт идэвхгүй байгаа эсэхийг шалгана.
2. 2
   API access token болон сонгосон лог хүргэх agent-ийн custom тохиргоог үүсгэнэ.

   Winlogbeat-ийн тохиргооны жишээ:

# Needed for Security Data Lake
fields_under_root: true
fields.collector_node_id: ${sidecar.nodeName}
fields.gl2_source_collector: ${sidecar.nodeId}

output.logstash:
  hosts: ["${user.forwarder_ip}:5044"]
path:
  data: ${sidecar.spoolDir!"C:\\Program Files\\Bitdefender\\sidecar\\cache\\winlogbeat"}\data
  logs: ${sidecar.spoolDir!"C:\\Program Files\\Bitdefe\\sidecar"}\logs
tags:
  - windows
winlogbeat:
  event_logs:
    - name: "Microsoft-Windows-AppLocker/EXE and DLL"
      ignore_older: 24h
    - name: "Microsoft-Windows-AppLocker/MSI and SCRIPT"
      ignore_older: 24h
    - name: "Microsoft-Windows-AppLocker/Packaged app-Deployment"
      ignore_older: 24h
    - name: "Microsoft-Windows-AppLocker/Packaged app-Execution"
      ignore_older: 24h

Winlogbeat-д зориулж Beats input-ийг хэрхэн тохируулах талаар Beats input хэсгээс харна уу.

NXLog-ийн тохиргооны жишээ:

> Тэмдэглэл: Энэ тохиргоо нь NXLog-ийг анхдагч хавтас биш, C:\Program Files (x86)\nxlog хавтаст суулгасан байхыг шаарддаг.

define ROOT C:\Program Files (x86)\nxlog

Moduledir %ROOT%\modules
CacheDir %ROOT%\data
Pidfile %ROOT%\data\nxlog.pid
SpoolDir %ROOT%\data
LogFile %ROOT%\data\nxlog.log
LogLevel INFO

<Extension logrotate>
    Module  xm_fileop
    <Schedule>
        When    @daily
        Exec    file_cycle('%ROOT%\data\nxlog.log', 7);
    </Schedule>
</Extension>

<Extension gelfExt>
    Module xm_gelf
    # Avoid truncation of the short_message field to 64 characters.
    ShortMessageLength 65536
</Extension>

<Input eventlog>
    Module im_msvistalog
    PollInterval 1
    SavePos True
    ReadFromLast True

    <QueryXML>
        <QueryList>
            <Query Id='1'>
                <Select Path="Microsoft-Windows-AppLocker/EXE and DLL">*</Select>
                <Select Path="Microsoft-Windows-AppLocker/MSI and Script">*</Select>
                <Select Path="Microsoft-Windows-AppLocker/Packaged app-Deployment">*</Select>
                <Select Path="Microsoft-Windows-AppLocker/Packaged app-Execution">*</Select>
            </Query>
        </QueryList>
    </QueryXML>
</Input>

<Output gelf>
    Module om_tcp
    Host ${user.forwarder_ip}
    Port 12201
    OutputType  GELF_TCP
    <Exec>
        # These fields are needed for Security Data Lake
        $gl2_source_collector = '${sidecar.nodeId}';
        $collector_node_id = '${sidecar.nodeName}';
    </Exec>
</Output>

<Route route-1>
    Path eventlog => gelf
</Route>

NXLog-д зориулж GELF TCP input-ийг хэрхэн тохируулах талаар GELF хэсгээс харна уу.

3. 3
   Клиент хост дээр Bitdefender Sidecar суулгана.
4. 4
   Bitdefender Sidecar-ийн клиент тохиргоог өөрийн Security Data Lake API URL болон API access token-оор засварлана.

Юу багтсан бэ

• Windows AppLocker үйл явдлын логуудыг Security Data Lake схемтэй нийцэх талбар болгон гаргах задлан шинжлэх (parsing) дүрмүүд
• Аюулгүй байдлын чухал үйл явдлууд болон статистикийг онцолсон Illuminate spotlight

Энэ technology pack-ийн боловсруулдаг үйл явдлууд

Windows AppLocker контент багц дараах event ID-г дэмжинэ. Жагсаалтад ороогүй event ID-д ерөнхий (generic) боловсруулалт хийгдэнэ.

Event ID-ууд

Задлан шинжилсэн талбарууд

Windows AppLocker Spotlight content pack

Windows AppLocker нь 6 tab-тай dashboard өгнө:

• AppLocker Events Overview
• EXE
• DLL
• MSI
• SCRIPT
• APPX