Lyssna efter SIEM-händelser på din fristående Defender for Identity-sensor

Den här artikeln beskriver den meddelandesyntax som krävs när du konfigurerar en fristående Defender for Identity-sensor för att lyssna efter SIEM-händelsetyper som stöds. Att lyssna efter SIEM-händelser är en metod för att förbättra identifieringsförmågan med extra Windows-händelser som inte är tillgängliga från domänkontrollantnätverket.

Mer information finns i Översikt över Windows-händelsesamling.

RSA-säkerhetsanalys

Använd följande meddelandesyntax för att konfigurera din fristående sensor för att lyssna efter RSA Security Analytics-händelser:

<Syslog Header>RsaSA\n2015-May-19 09:07:09\n4776\nMicrosoft-Windows-Security-Auditing\nSecurity\XXXXX.subDomain.domain.org.il\nYYYYY$\nMMMMM \n0x0

I den här syntaxen:

• Syslog-huvudet är valfritt.

• Teckenavgränsaren \n krävs mellan alla fält.

• Fälten i ordning är:

  1. (Krävs) RsaSA-konstant
  2. Tidsstämpeln för den faktiska händelsen. Kontrollera att det inte är tidsstämpeln för ankomsten till SIEM eller när den skickas till Defender för identitet. Vi rekommenderar starkt att du använder en noggrannhet på millisekunder.
  3. Händelse-ID för Windows
  4. Namnet på Windows-händelseprovidern
  5. Namn på Windows-händelselogg
  6. Namnet på den dator som tar emot händelsen, till exempel domänkontrollanten
  7. Namnet på användaren som autentiserar
  8. Namnet på källvärdnamnet
  9. Resultatkoden för NTLM

MicroFocus ArcSight

Använd följande meddelandesyntax för att konfigurera din fristående sensor för att lyssna efter MicroFocus ArcSight-händelser:

CEF:0|Microsoft|Microsoft Windows||Microsoft-Windows-Security-Auditing:4776|The domain controller attempted to validate the credentials for an account.|Low| externalId=4776 cat=Security rt=1426218619000 shost=KKKKKK dhost=YYYYYY.subDomain.domain.com duser=XXXXXX cs2=Security cs3=Microsoft-Windows-Security-Auditing cs4=0x0 cs3Label=EventSource cs4Label=Reason or Error Code

I den här syntaxen:

• Meddelandet måste följa protokolldefinitionen.

• Inget syslog-huvud ingår.

• Huvuddelen, avgränsad med ett rör (|) måste inkluderas, enligt vad som anges i protokollet

• Följande nycklar i tilläggsdelen måste finnas i händelsen:

  Tangent	Beskrivning
  externalId	Händelse-ID för Windows
  Rt	Tidsstämpeln för den faktiska händelsen. Kontrollera att värdet inte är tidsstämpeln för ankomsten till SIEM eller när det skickas till Defender för identitet. Se också till att använda en noggrannhet på millisekunder.
  katt	Namn på Windows-händelselogg
  shost	Källvärdnamnet
  dhost	Den dator som tar emot händelsen, till exempel domänkontrollanten
  duser	Användaren autentiserar

  Ordningen är inte viktig för tilläggsdelen .

• Du måste ha en anpassad nyckel och keyLable för följande fält:

  • EventSource
  • Reason or Error Code = Resultatkoden för NTLM

Splunk

Använd följande meddelandesyntax för att konfigurera din fristående sensor för att lyssna efter Splunk-händelser:

<Syslog Header>\r\nEventCode=4776\r\nLogfile=Security\r\nSourceName=Microsoft-Windows-Security-Auditing\r\nTimeGenerated=20150310132717.784882-000\r\ComputerName=YYYYY\r\nMessage=

I den här syntaxen:

• Syslog-huvudet är valfritt.

• Det finns en \r\n teckenavgränsare mellan alla obligatoriska fält. Det här är CRLF kontrolltecken, (0D0A i hex) och inte literaltecken.

• Fälten är i key=value format.

• Följande nycklar måste finnas och ha ett värde:

  Namn	Beskrivning
  EventCode	Händelse-ID för Windows
  Logfile	Namn på Windows-händelselogg
  SourceName	Namnet på Windows-händelseprovidern
  TimeGenerated	Tidsstämpeln för den faktiska händelsen. Kontrollera att värdet inte är tidsstämpeln för ankomsten till SIEM eller när det skickas till Defender för identitet. Tidsstämpelformatet måste vara The format should match yyyyMMddHHmmss.FFFFFF, och du måste använda en noggrannhet på millisekunder.
  ComputerName	Källvärdnamnet
  Meddelande	Den ursprungliga händelsetexten från Windows-händelsen

• Meddelandenyckeln och värdet måste vara sist.

• Ordningen är inte viktig för key=value-paren.

Ett meddelande som liknar följande visas:

The computer attempted to validate the credentials for an account.

Authentication Package: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0

Logon Account: Administrator

Source Workstation: SIEM

Error Code: 0x0

QRadar

QRadar aktiverar händelseinsamling via en agent. Om data samlas in med hjälp av en agent samlas tidsformatet in utan millisekunders data.

Eftersom Defender for Identity behöver millisekunders data måste du först konfigurera QRadar för att använda agentlös Windows-händelseinsamling. Mer information finns i QRadar: Agentless Windows Events Collection using the MSRPC Protocol (QRadar: Agentless Windows Events Collection using the MSRPC Protocol).

Använd följande meddelandesyntax för att konfigurera din fristående sensor för att lyssna efter QRadar-händelser:

<13>Feb 11 00:00:00 %IPADDRESS% AgentDevice=WindowsLog AgentLogFile=Security Source=Microsoft-Windows-Security-Auditing Computer=%FQDN% User= Domain= EventID=4776 EventIDCode=4776 EventType=8 EventCategory=14336 RecordNumber=1961417 TimeGenerated=1456144380009 TimeWritten=1456144380009 Message=The computer attempted to validate the credentials for an account. Authentication Package: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0 Logon Account: Administrator Source Workstation: HOSTNAME Error Code: 0x0

I den här syntaxen måste du inkludera följande fält:

• Agenttypen för samlingen
• Namnet på Windows-händelseloggprovidern
• Händelseloggkällan för Windows
• Domänkontrollantens fullständigt kvalificerade domännamn
• Händelse-ID för Windows
• TimeGenerated, som är tidsstämpeln för den faktiska händelsen. Kontrollera att värdet inte är tidsstämpeln för ankomsten till SIEM eller när det skickas till Defender för identitet. Tidsstämpelformatet måste vara The format should match yyyyMMddHHmmss.FFFFFF, och måste ha en noggrannhet på millisekunder.

Kontrollera att meddelandet innehåller den ursprungliga händelsetexten från Windows-händelsen och att du har \t mellan nyckel/värde-paren.

Relaterat innehåll

Mer information finns i:

• Konfigurera portspegling
• Konfigurera vidarebefordran av Windows-händelser till din fristående Defender for Identity-sensor