Cyber Security: Настройка источников на инфраструктуре
Общее описание
Правила модуля ожидают от источников определенный набор событий. Если подкатегория аудита выключена, журнал не ведется или в событии отсутствуют нужные поля, правило не получит данных и не сработает даже во время атаки. Поэтому источники нужно настроить до подключения сбора данных.
Что настраивается
| Источник | Что настроить |
|---|---|
| Windows | расширенную политику аудита, командную строку в событии создания процесса, журналирование PowerShell, Sysmon, размер журналов |
| Active Directory | политику аудита на всех контроллерах домена, списки управления доступом (SACL) на объектах каталога, аудит служб сертификации |
| Microsoft IIS | запись журнала в события ETW и каналы журналов IIS |
| Linux | правила подсистемы аудита ядра |
| nginx | формат журнала доступа |
| Kubernetes | политику аудита и параметры журнала аудита kube-apiserver |
После настройки источников подключите сбор данных по разделу Подключение и настройка сбора данных.
Документы в поставке модуля
Требования к каждому источнику, параметры, команды и способы проверки приведены в документе «Настройка аудита на источниках», который поставляется вместе с модулем.