İLERİ SEVİYE WINDOWS DENETİMLERİ

Transkript

1 TECHNICAL BRIEF İLERİ SEVİYE WINDOWS DENETİMLERİ Giriş Birçok kuruluşun iş istasyonlarında ve sunucularında meydana gelen olay günlüklerinin görünürlüğü yetersizdir. Bir kuruluşun Windows ana bilgisayarlarında olup bitenleri detaylı tespit etmek, etkili bir soruşturma yürütmek için detaylı olay günlük görünümü gereklidir. Kötü amaçlı olayları tespit etmek giderek daha zor hale gelmiştir. Mümkün olduğunca çok kaynaktan günlük verilerini izlemek ve toplamak saldırı tespiti açısından çok önemlidir. Aynı zamanda siber güvenlik ile ilgili olaylara kritik kavrayışlar sağlayarak olaya müdahale süresinin azaltılmasına yardımcı olur ve olaylara yanıt vermenin toplam maliyetini azaltır. Birçok SIEM sistemi, Windows söz konusu olduğunda birçok olay günlüğü verilerini işlemektedir. Logsign, 400 den fazla Windows kaynağında farklı olay günlüklerini toplar ve normalize eder. Böylece en spesifik sistem olaylarını ayrıştırır ve farklı olaylar ile korele ederek diğer kullanıcı eylemleriyle ilişkilendirmenizi sağlar. Logsign ın geniş Windows Denetim kapasitesi, Windows ürünleri geliştikçe ve müşteri ihtiyaçları büyüdükçe aynı oranda artar. Bu doküman bilgi teknolojileri ve bilgi güvenliği profesyonelleri için ve de aynı zamanda mevcut yapıdaki HIDS / NIDS sistemlerini tamamlayıcı rol olması açısından tasarlanmıştır. Olay Günlüğü Boyutu Windows olay günlükleri varsayılan ayarları küçük boyuta göre ayarlanmıştır ve günlük maksimum boyutuna ulaşıldığında olay günlükleri üzerine yazmaya devam eder. Önemli olabilecek olayların devamlı olarak günlüklerin üzerine yazılıyor olmasına bağlı olarak riskler artmaktadır. Bu riskleri azaltmak için olay günlüklerinin varsayılan dosya boyutu olan 20 MB değerin artırılması gerekmektedir. Günlük boyutu gereksinimleri tabloda belirtilmiştir. Grup İlkesi Önerilen Değer Computer Configuration\Policies\Administrative Templates\Windows Components\Event Log Service\Application Maksimum günlük dosyası boyutunu belirtin (KB) Maximum Günlük Dosya Boyutu (KB):65536 Computer Configuration\Policies\Administrative Templates\Windows Components\Event Log Service\Security Maksimum günlük dosyası boyutunu belirtin (KB) Maximum Günlük Dosya Boyutu (KB): Computer Configuration\PoliciesW\Administrative Templates\Windows Components\Event Log Service\System Maksimum günlük dosyası boyutunu belirtin (KB) Maximum Günlük Dosya Boyutu (KB):65536

2 Windows Günlük Yapılandırma Güvenlik nedeniyle Windows tarafında WMI izlemesi için yönetici hesabı kullanmayın, yönetici olmayan bir hesap oluşturmanız ve WMI izlemesini bu kullanıcı ile yapıyor olmanız güvenlik risklerini azaltmanız açısından önemlidir. 1. Başlat > Çalıştır(Run) lusrmgr.msc yazın ve tamam(ok) tıklayın. 2. Users klasörüne sağ tıklayıp Properties e girin. 3. Member Of tabına gelin ve Add e tıklayın 4. Enter the object names to select kısmına Distributed COM Users ve Performance Monitor Users gruplarını ekleyip OK a basın.

3 Your teammate in cyber security Ardından, grupların sisteme uzaktan erişmesine izin vermek için DCOM Güvenlik Ayarları nı yapılandırın. 5. Başlat > Çalıştır(Run) a dcomcnfg yazın ve OK a tıklayın. 6. Component Services ağacını açın My Computer a sağ tıklayın ve Properties i tıklayın. 7. COM Security sekmesine gelin Launch and Activation Permissions bölümünde Edit e tıklayın. 8. Add e tıklayarak Distributed COM Users ve Performance Monitor Users gruplarını ekleyin, OK a basın. 9. Her bir grup için Local Launch, Remote Launch, Local Activation, Remote Activation ları işaretleyin ve OK a basın. WMI Control güvenlik ayarları için; 10. Başlat > Çalıştır(Run) a wmimgmt.msc yazın ve OK a basın. 11. WMI Control (Local) sağ tıklayın ve Properties e girin. 12. Security sekmesine gelin. 13. Root ağacını açın, CIMV2 ağacını açın ve Security ye gelin. 14. Security düğmesine basın ve Add e tıklayın. 15. Enter the object names to select kısmına Distributed COM Users ve Performance Monitor Users gruplarını ekleyip OK a basın. 16. Advanced bölümüne girin. 17. Distributed COM Users seçin ve Edit e basın Alt açılır listeden This namespace and subnamespaces i seçin Allow kolonu altında Execute Methods, Enable Account, ve Remote Enable ı işaretleyin adımlarını Performance Monitor Users group için de tekrar edin. 21. Tüm pencereleri OK ile kapatın.

4 Denetim Ayarları Önerileri Öneriler, Microsoft un ortalama güvenlik gereksinimleri olan ve yüksek düzeyde işlevsellik gösteren kurumsal bilgisayarlar içindir. Daha yüksek güvenlik gereksinimi duyan kurumlar daha agresif denetim politikalarını düşünmelidir ve uygulamalıdır. Windows Server 2016, Windows Server 2012 R2,Windows Server 2012, Windows Server 2008 R2, ve Windows Server 2008 için denetim ayarı önerileri Audit Policy Kategorisi ve Alt Kategorileri Windows Varsayılan Temel Öneriler Yüksek Öneriler Success / Failure Success /Failure Success /Failure Account Logon Audit Credential Validation Hayır /Hayır Audit Kerberos Authentication Service Audit Kerberos Service Ticket Operations Audit Other Account Logon Events Account Management Audit Application Group Management Audit Computer Account Management Evet / DC Audit Distribution Group Management Audit Other Account Management Events Audit Security Group Management Audit User Account Management Evet / Hayır Detailed Tracking Audit DPAPI Activity Audit Process Creation Evet / Hayır Audit Process Termination Evet / Hayır Audit RPC Events DS Access Audit Detailed Directory Service Replication Audit Directory Service Access DC DC DC DC Audit Directory Service Changes DC DC DC DC Audit Directory Service Replication Logon and Logoff Audit Account Lockout Evet / Hayır Evet / Hayır Audit User/Device Claims Audit IPsec Extended Mode Audit IPsec Main Mode Gerekli İse Audit IPsec Quick Mode Audit Logoff Evet / Hayır Evet / Hayır Evet / Hayır Audit Logon Evet / Hayır Audit Network Policy Server Audit Other Logon/Logoff Events Audit Special Logon Evet / Hayır Evet / Hayır

5 Object Access Audit Application Generated Audit Certification Services Audit Detailed File Share Audit File Share Audit File System Audit Filtering Platform Connection Audit Filtering Platform Packet Drop Audit Handle Manipulation Audit Kernel Object Audit Other Object Access Events Audit Registry Audit Removable Storage Audit SAM Audit Central Access Policy Staging Policy Change Audit Audit Policy Change Evet / Hayır Audit Authentication Policy Change Evet / Hayır Evet / Hayır Audit Authorization Policy Change Audit Filtering Platform Policy Change Audit MPSSVC Rule-Level Policy Change Evet / - Audit Other Policy Change Events Privilege Use Audit Non Sensitive Privilege Use Audit Other Privilege Use Events Audit Sensitive Privilege Use System Audit IPsec Driver Audit Other System Events Audit Security State Change Evet / Hayır Audit Security System Extension Audit System Integrity Global Object Access Auditing Audit IPsec Driver Audit Other System Events Audit Security State Change Audit Security System Extension Audit System Integrity

6 Windows PowerShell Denetimleri Windows PowerShell komut dosyalarının ve etkileşimli erişiminin ayrıntılı günlüğünü tutar. Büyük PowerShell komut dosyaları sıklıkla kullanılıyorsa aşırı düzeyde olay günlüklerine olay oluşturma ve gürültüye neden olabilir. Kuruluş genelinde dağıtım yapılmadan önce test ortamında yapılandırılmasını tavsiye ederiz. Grup İlkesi Önerilen Değer Computer Configuration\Policies\Administrative Templates\Windows Components\Windows PowerShell Turn on Module Logging PowerShell V5 sürümünden öncekiler için etkinleştirilir. Turn on PowerShell Script Block Logging Logsign, log yönetimi, güvenlik analizleri ve regülasyonlara uyumluluğu tek bir platformda sunan Güvenlik Bilgi ve Olay Yonetimi (SIEM) çözümüdür yılında kurulan Logsign, siber güvenliğin bir ekip çalışması olduğuna ve güvenlik ürünlerinin çok daha zeki olması gerektiğine inanır. Bu inançla çalışmalarını Güvenlik Zekası ve SOC çözümleri üzerine yoğunlaştırmıştır. Aktif olarak 500 den fazla orta ve büyük ölçekli firma ve devlet kurumuna hizmet vermektedir. Siber güvenlik alanında tüm paydaşları için vazgeçilmez bir ekip arkadaşı olmak, müşterilerinin güvenlik farkındalığını en üst seviyeye taşımak ve güvenlik duruşlarını güçlendirmek adına calışmaktadır ve 2017 yillarında Deloitte Technology Fast 50 de yer alan Logsign, yerli bir güvenlik yazılımı üreticisi olarak alanındaki yetkinliğini kanıtlamıştır. Daha fazla bilgi için www. Yardım Merkezi support.logsign.net / İstanbul HQ Ankara San Francisco Bize ulaşın info@