Bereich 10 / 12
Überwachung & Protokollierung
Die Standardprotokollierung von Windows beantwortet kaum eine Frage, die ein Incident Responder stellt. Dieser Bereich konfiguriert die Unterkategorien der erweiterten Überwachungsrichtlinie, die Erfassung von Befehlszeilen, Loggrößen für Wochen statt Stunden, Sysmon für Prozess-, Netzwerk- und DNS-Telemetrie sowie Windows Event Forwarding, damit Beweise den Host verlassen, bevor ein Angreifer sie löscht.
Pfad startenLernpfad
0/4 erledigt- 01Windows-Überwachungsrichtlinie und Sysmon: Logging-BaselineErweiterte Überwachungsrichtlinie, Befehlszeilen-Erfassung, Loggrößen, Sysmon und Event Forwarding so konfigurieren, dass Windows-Logs wer, was, wo und wann beantworten.
- 02Sysmon im großen Maßstab verteilen und optimierenEine Sysmon-Konfiguration wählen, Rauschen ohne blinde Flecken reduzieren, Updates sicher auf Tausende Hosts ausrollen und Sysmon selbst überwachen.
- 03Windows Event Forwarding im großen MaßstabWindows Event Forwarding, das trägt: Collectors, quellinitiierte Abonnements, XPath-Abfragen, Zustellungsoptimierung, Zugriff aufs Sicherheitsprotokoll und Zustandsprüfungen.
- 04Windows-Sicherheitsereignis-IDs, die wirklich zählenPraxisreferenz der Windows-Ereignis-IDs, die sich zu erfassen und alarmieren lohnen: Anmeldungen, Fehlercodes, Kerberos, Kontoänderungen, Persistenz, Manipulation.