Domaine 10 / 12
Audit & journalisation
La journalisation Windows par défaut ne répond à presque aucune des questions d'un intervenant en réponse à incident. Ce domaine configure les sous-catégories de la stratégie d'audit avancée, la capture des lignes de commande, des tailles de journaux couvrant des semaines plutôt que des heures, Sysmon pour la télémétrie processus, réseau et DNS, et Windows Event Forwarding pour que les preuves quittent l'hôte avant qu'un attaquant ne les efface.
Commencer le parcoursParcours
0/4 terminés- 01Audit Windows et Sysmon : un socle de journalisationConfigurez les sous-catégories d'audit avancé, la capture des lignes de commande, la taille des journaux, Sysmon et WEF pour savoir qui, quoi, où et quand.
- 02Déployer et ajuster Sysmon à grande échelleChoisissez une configuration Sysmon, réduisez le bruit sans créer d'angles morts, déployez les mises à jour sur des milliers d'hôtes et surveillez Sysmon lui-même.
- 03Windows Event Forwarding à grande échelleUn Windows Event Forwarding qui tient la charge : collecteurs, abonnements initiés par la source, requêtes XPath, livraison, accès au journal Sécurité et supervision.
- 04Les ID d'événements de sécurité Windows qui comptentRéférence pratique des ID d'événements Windows à collecter et surveiller : ouvertures de session, codes d'échec, Kerberos, comptes, persistance et altérations.