So konfigurieren Sie Windows 11 zum Senden von Protokollen an einen Syslog- oder SIEM-Server

Zentralisieren Sie Windows 11-Ereignisprotokolle in einer SIEM-Lösung oder einem Syslog-Server ist eine Schlüsselstrategie zur Verbesserung der Sicherheit und IT-InfrastrukturmanagementIntegrieren Sie diese Protokolle ermöglicht eine schnellere und effizientere Vorfallanalyse, Prüfung und Diagnose.

Heutzutage gibt es verschiedene Methoden und Tools, um diese Konfiguration zu erreichen: von nativen Windows-Lösungen bis hin zu externen Agenten und Verwaltungsplattformen wie Pandora FMS oder ManageEngine. In diesem Artikel untersuchen wir alle Möglichkeiten. von den einfachsten bis zu den fortgeschrittensten Konfigurationen, einschließlich Optionen mit und ohne Verschlüsselung, kostenlose Agenten und Integrationsmöglichkeiten mit Systemen wie Azure Local.

Verwandte Artikel:

Wie können Sie HEIC-Protokolldaten in Home 10-Fenstern öffnen?

Grundlegende Optionen zum Senden von Protokollen von Windows an einen Syslog-Server

Bevor wir uns mit spezielleren Konfigurationen befassen, ist es hilfreich zu wissen, einfache und kostenlose Alternativen um Windows-Protokolle an ein Remoteziel weiterzuleiten.

Freie Agenten verfügbar

• Snare-Epilog: Eingeschränkte kostenlose Version des Produkts der InterSect Alliance. Es erfordert die Konfiguration über eine Weboberfläche und bietet nicht viel Flexibilität.
• CorreLog Windows Agent: Leistungsstark und kostenlos nach Registrierung. Die Konfiguration erfolgt über eine Textdatei, die Installation als Dienst und ermöglicht sogar die Protokollierung geöffneter Bewerbungen auf dem System.
• Datagramm-SyslogAgent: Eine der einfachsten und robustesten. Basiert auf NTSyslog, wird über die Windows-Registrierung konfiguriert und bietet Caching, wenn der Remote-Server nicht verfügbar ist.

Diese Lösungen sind ideal für den häuslichen Bereich oder kleine Infrastrukturen wo eine zentrale Steuerung und Verschlüsselung von Nachrichten nicht erforderlich ist.

Protokollweiterleitung in Azure Local mit PowerShell

In kontrollierteren Umgebungen wie Azure Stack HCI oder Azure Local bietet Microsoft spezielle Cmdlets für Konfigurieren und Verwalten der Protokollweiterleitung mithilfe des Syslog-Protokolls.

Empfohlene Cmdlets

Der Befehl wird verwendet Set-AzSSyslogForwarder zum Konfigurieren der Weiterleitungseinstellungen. Zu den Parametern gehören:

• -ServerName: IP-Adresse oder FQDN des Syslog-Servers.
• -ServerPort: Abhörport des Remote-Servers.
• -UseUDP: verwendet UDP als Transportprotokoll.
• -Keine Verschlüsselung: ermöglicht das Senden von Ereignissen im Klartext.
• -ClientCertificateThumbprint: um eine gegenseitige Authentifizierung mithilfe von Zertifikaten herzustellen.

Nach der Konfiguration wird die Weiterleitung aktiviert mit Enable-AzSSyslogForwarder und kann deaktiviert werden mit Disable-AzSSyslogForwarder .

Betriebsarten

Je nach gewünschtem Sicherheitsniveau können unterschiedliche Varianten zum Einsatz kommen:

• UDP ohne Verschlüsselung: Sehr einfache Einrichtung, jedoch kein Abhörschutz.
• TCP ohne Verschlüsselung: verbessert die Nachrichtenübermittlung, ist aber immer noch nicht sicher.
• TCP mit TLS und Serverauthentifizierung: Der Client validiert das Serverzertifikat, bevor er die Protokolle sendet.
• TCP mit TLS und gegenseitiger Authentifizierung: Sowohl Client als auch Server validieren ihre Identitäten mithilfe von Zertifikaten und bieten so ein Höchstmaß an Sicherheit.

Einstellungen prüfen und löschen

Um den aktuellen Status der Protokollweiterleitung zu überprüfen, verwenden Sie Get-AzSSyslogForwarder mit den folgenden optionalen Parametern:

• -Lokal: Zeigt die aktuelle Hostkonfiguration an.
• -ProKnoten: Details für jeden Knoten.
• -Cluster: Zeigt die globalen Einstellungen für Azure Local an.

Wenn Sie die Konfiguration vollständig löschen oder zurücksetzen möchten, verwenden Sie Set-AzSSyslogForwarder -Remove.

Remote-Protokollerfassung in Windows-Umgebungen

Für komplexere oder unternehmensweite Szenarien kann die Remote-Sammlung über WMI, Remote-Sitzungen oder native Konnektivität mit Ereignisanzeigen in Active Directory-Domänen verwendet werden. ManageEngine dokumentiert eine erweiterte Methode hierfür, die umfassende Schritte umfasst:

Berechtigungen erforderlich

• Erstellen Sie in der Domäne ein Dienstkonto mit Berechtigungen für den Zugriff auf die Protokolle.
• Fügen Sie dieses Konto zu Gruppen wie „Ereignisprotokollleser“ und „Distributed COM-Benutzer“ hinzu.
• Erteilen Sie Berechtigungen zum Verwalten von Überwachungsprotokollen mithilfe lokaler Richtlinien oder Gruppenrichtlinienobjekte.
• Konfigurieren Sie bei Bedarf den WMI-Zugriff und die DCOM-Berechtigungen.

Technische Schritte

Sobald die Genehmigungen erteilt wurden:

1. Aktivieren Sie die Konnektivität durch die Firewall.
2. Aktivieren Sie den Event Collector-Dienst auf dem Zielserver.
3. Konfigurieren Sie das WRM-Protokoll auf den Quellmaschinen.
4. Erstellen Sie ein Abonnement aus der Ereignisanzeige, indem Sie die Quellgeräte, Protokolltypen und gewünschten Filter angeben.

Überwachung mit Pandora FMS

Pandora FMS bietet auch eine sehr umfassende Möglichkeit, Protokolle sowohl in Windows als auch in Linux, integriert Ihre Daten in OpenSearch und ermöglicht die SIEM-Korrelation.

Sammlung von Windows

• Im Textformat: für Dateien wie Apache-Protokolle oder benutzerdefinierte Dienste.
• Von Systemereignissen: Filter definieren mit module_source (System, Anwendung, Sicherheit) und Parameter wie module_eventtype, module_eventcode, module_application.

Ernten unter Linux

Es werden Module verwendet, die Routen analysieren, wie /var/log/messages o /var/log/secure Suche nach Mustern. Sie können erfolgreiche HTTP-Statuscodes ausschließen oder mit regulären Ausdrücken suchen.

Integrierter Syslog-Server

Aktivieren einer Option in pandora_server.confPandora kann Protokolle mithilfe mehrerer Verarbeitungsthreads und einer konfigurierbaren Warteschlange direkt über Syslog empfangen.

Holger

Leidenschaftlicher Autor über die Welt der Bytes und der Technologie im Allgemeinen. Ich liebe es, mein Wissen durch Schreiben zu teilen, und genau das werde ich in diesem Blog tun und Ihnen die interessantesten Dinge über Gadgets, Software, Hardware, technologische Trends und mehr zeigen. Mein Ziel ist es, Ihnen dabei zu helfen, sich auf einfache und unterhaltsame Weise in der digitalen Welt zurechtzufinden.