Konfigurera Windows-händelsesamling

Gäller för: Advanced Threat Analytics version 1.9

För att förbättra identifieringsfunktionerna behöver ATA följande Windows-händelser: 4776, 4732, 4733, 4728, 4729, 4756, 4757, 7045. Dessa kan antingen läsas automatiskt av ATA Lightweight Gateway eller om ATA Lightweight Gateway inte har distribuerats, kan den vidarebefordras till ATA Gateway på något av två sätt genom att konfigurera ATA Gateway för att lyssna efter SIEM-händelser eller genom att konfigurera vidarebefordran av Windows-händelser.

WEF-konfiguration för ATA Gateway med portspegling

När du har konfigurerat portspegling från domänkontrollanterna till ATA Gateway använder du följande instruktioner för att konfigurera vidarebefordran av Windows-händelser med hjälp av källinitierad konfiguration. Det här är ett sätt att konfigurera vidarebefordran av Windows-händelser.

Steg 1: Lägg till nätverkstjänstkontot i domänens händelseloggläsargrupp.

I det här scenariot förutsätter du att ATA Gateway är medlem i domänen.

1. Öppna Active Directory - användare och datorer, navigera till mappen BuiltIn och dubbelklicka på Händelseloggläsare.
2. Välj Medlemmar.
3. Om Nätverkstjänst inte finns med i listan väljer du Lägg till, skriver Nätverkstjänst i fältet Ange de objektnamn som ska väljas . Välj sedan Kontrollera namn och välj OK två gånger.

När du har lagt till nätverkstjänsten i gruppen Händelseloggläsare startar du om domänkontrollanterna för att ändringen ska börja gälla.

Steg 2: Skapa en princip på domänkontrollanterna för att ange inställningen Konfigurera målprenumerationshanteraren.

1. Kör följande kommando på varje domänkontrollant: winrm quickconfig

2. Från en kommandotolk skriver du gpedit.msc.

3. Expandera Datorkonfiguration > Administrativa mallar > Vidarebefordra windows-komponenter > händelse

   

4. Dubbelklicka på Konfigurera målprenumerationshanteraren.

   1. Välj Aktiverad.

   2. Under Alternativ väljer du Visa.

   3. Under SubscriptionManagers anger du följande värde och väljer OK: Server=http://<fqdnATAGateway\>:5985/wsman/SubscriptionManager/WEC,Refresh=10

      (Till exempel: Server=http://atagateway.contoso.com:5985/wsman/SubscriptionManager/WEC,Refresh=10)

      

   4. Välj OK.

   5. Från en upphöjd kommandotolk skriver du gpupdate /force.

Steg 3: Utför följande steg på ATA Gateway

1. Öppna en upphöjd kommandotolk och skriv wecutil qc

2. Öppna Loggboken.

3. Högerklicka på Prenumerationer och välj Skapa prenumeration.

   1. Ange ett namn och en beskrivning för prenumerationen.

   2. Bekräfta att Vidarebefordrade händelser har valts för Mållogg. För att ATA ska kunna läsa händelserna måste målloggen vara Vidarebefordrade händelser.

   3. Välj Källdator initierad och välj sedan Välj datorer Grupper.

      1. Välj Lägg till domändator.
      2. Ange namnet på domänkontrollanten i fältet Ange det objektnamn som ska väljas . Välj sedan Kontrollera namn och välj OK.
         
      3. Välj OK.

   4. Välj Välj händelser.

      1. Välj Efter logg och välj Säkerhet.
      2. I fältet Inkluderar/exkluderar händelse-ID skriver du händelsenumret och väljer OK. Skriv till exempel 4776, som i följande exempel.

      

   5. Högerklicka på den skapade prenumerationen och välj Körningsstatus för att se om det finns några problem med statusen.

   6. Efter några minuter kontrollerar du att de händelser som du har angett ska vidarebefordras visas i Vidarebefordrade händelser på ATA Gateway.

Mer information finns i: Konfigurera datorerna att vidarebefordra och samla in händelser

Se även

• Installera ATA
• Kolla in ATA-forumet!