Data/Locales/checks/de/ADLoggingChecks.json
|
{ "_family": "ADLoggingChecks.json", "ADLOG-001": { "name": { "value": "Erweiterte Überwachungsrichtlinie konfiguriert", "status": "machine-draft" }, "description": { "value": "Die veraltete Überwachungsrichtlinie mit neun Kategorien ist für moderne Untersuchungen zu grob – sie kann Ihnen sagen, dass unter „Anmeldeereignisse überwachen“ ETWAS fehlgeschlagen ist, aber nicht, ob es sich um einen Kerberos-Präauthentifizierungsfehler, eine Diensticketanforderung oder eine explizite Weitergabe von Anmeldeinformationen handelte. Windows unterstützt seit Vista die erweiterte Überwachungsrichtlinie (60+ Unterkategorien), doch sie muss aktiv gewählt werden. Das Vorhandensein von audit.csv im SYSVOL-Ordner der Default Domain Controllers Policy ist der Indikator auf Protokollebene, dass die Domäne migriert wurde.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Default Domain Controllers Policy liefert eine audit.csv aus (Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Überwachungsrichtlinien > <Unterkategorien>).", "status": "machine-draft" }, "remediationSteps": { "value": "Öffnen Sie die Default Domain Controllers Policy in der GPMC. Navigieren Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Überwachungsrichtlinien. Aktivieren Sie mindestens: Kontoanmeldung > Kerberos-Diensticketvorgänge (Erfolg+Fehler), Anmelden/Abmelden > Anmelden (Erfolg+Fehler) + Spezielle Anmeldung (Erfolg), Kontenverwaltung > alle (Erfolg), Objektzugriff > Dateifreigabe + Detaillierte Dateifreigabe (Erfolg+Fehler bei Überwachung von Lateralbewegung), Detaillierte Nachverfolgung > Prozesserstellung (Erfolg). Aktivieren Sie außerdem in den Sicherheitsoptionen „Überwachung: Unterkategorieeinstellungen der Überwachungsrichtlinie erzwingen“, damit sie Vorrang vor den veralteten neun Kategorien hat.", "status": "machine-draft" } }, "ADLOG-002": { "name": { "value": "PowerShell-Skriptblockprotokollierung aktiviert", "status": "machine-draft" }, "description": { "value": "Ereignis 4104 (PowerShell-Skriptblockprotokollierung) ist das nützlichste Windows-Ereignis für die Untersuchung moderner Angriffe – es erfasst den tatsächlich ausgeführten PowerShell-Code nach der Deobfuskierung, einschließlich über -EncodedCommand übergebenen Codes. Ohne dieses Ereignis ist ein Ermittler, der PowerShell-basierte Ransomware-Bereitstellung untersucht, blind. Die Einstellung wird per administrativer Vorlage in HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows\\PowerShell\\ScriptBlockLogging\\EnableScriptBlockLogging geschrieben.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Gruppenrichtlinie „PowerShell-Skriptblockprotokollierung aktivieren“ ist auf Domänen- oder DC-OU-Ebene aktiviert. Registrierung: EnableScriptBlockLogging = 1.", "status": "machine-draft" }, "remediationSteps": { "value": "Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Windows PowerShell > „PowerShell-Skriptblockprotokollierung aktivieren“ = Aktiviert. Überprüfen Sie nach gpupdate: Get-ItemProperty 'HKLM:\\SOFTWARE\\Policies\\Microsoft\\Windows\\PowerShell\\ScriptBlockLogging'. Stellen Sie sicher, dass die Ereignisprotokollkapazität für „Microsoft-Windows-PowerShell/Operational“ auf das Volumen ausgelegt ist (die standardmäßigen 15 MB werden unter Last innerhalb von Stunden überschrieben).", "status": "machine-draft" } }, "ADLOG-003": { "name": { "value": "PowerShell-Modulprotokollierung aktiviert", "status": "machine-draft" }, "description": { "value": "Ereignis 4103 (PowerShell-Modulprotokollierung) zeichnet die Cmdlet-/Parameteraufrufe jedes für die Protokollierung konfigurierten Moduls auf. Kombiniert mit der Skriptblockprotokollierung erhalten Sie einen hochzuverlässigen Telemetriestapel für jeden PowerShell-basierten Angriff. Die Einstellung wird per administrativer Vorlage in HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows\\PowerShell\\ModuleLogging geschrieben.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Gruppenrichtlinie „Modulprotokollierung aktivieren“ ist mit mindestens der Modulnamensliste „*“ aktiviert. Registrierung: EnableModuleLogging = 1.", "status": "machine-draft" }, "remediationSteps": { "value": "Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Windows PowerShell > „Modulprotokollierung aktivieren“ = Aktiviert. Fügen Sie „*“ zur Liste der Modulnamen hinzu (protokolliert alle Module) oder gezielt Microsoft.PowerShell.* + die Module, die Ihre Umgebung für die Administration verwendet.", "status": "machine-draft" } }, "ADLOG-004": { "name": { "value": "Überwachung der Prozesserstellung mit Befehlszeile", "status": "machine-draft" }, "description": { "value": "Ereignis 4688 (Prozesserstellung) ist das grundlegende Signal für Lateralbewegung – es teilt Ihnen mit, welcher Prozess von wem gestartet wurde. Das Standard-4688-Ereignis enthält NICHT die Befehlszeile, was es für Untersuchungen mit PowerShell, wmic, mshta oder anderen Living-off-the-Land-Binärdateien nahezu nutzlos macht. Die Richtlinie „Befehlszeile in Prozesserstellungsereignisse aufnehmen“ schließt diese Lücke.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Gruppenrichtlinie „Befehlszeile in Prozesserstellungsereignisse aufnehmen“ ist aktiviert UND die Unterkategorie „Prozesserstellung überwachen“ der erweiterten Überwachungsrichtlinie ist auf Erfolg gesetzt.", "status": "machine-draft" }, "remediationSteps": { "value": "Zwei Einstellungen, beide erforderlich: (1) Computerkonfiguration > Richtlinien > Administrative Vorlagen > System > Überwachung der Prozesserstellung > „Befehlszeile in Prozesserstellungsereignisse aufnehmen“ = Aktiviert. (2) Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Überwachungsrichtlinienkonfiguration > Detaillierte Nachverfolgung > Prozesserstellung überwachen = Erfolg. Ohne (1) treffen 4688-Ereignisse ohne die Zeichenfolge des Arguments NewProcessName ein. Ohne (2) treffen sie überhaupt nicht ein.", "status": "machine-draft" } }, "ADLOG-005": { "name": { "value": "Richtlinie zum Manipulationsschutz von Microsoft Defender", "status": "machine-draft" }, "description": { "value": "Wenn sich Ihr EDR ohne Administratoraktion vom Endpunkt aus abschalten lässt, schaltet es jeder Angreifer als ersten Schritt seines Playbooks ab. Der Manipulationsschutz von Defender (und das Äquivalent in jedem modernen EDR) blockiert die lokale Deaktivierung. Diese Prüfung sucht nach den GPO-Einstellungen, die den Echtzeitschutz von Defender steuern – der vollständige Status des Manipulationsschutzes wird in der Cloud gesetzt (Intune/MDE-Portal), doch die GPO-seitige Härtung ist aus SYSVOL überprüfbar.", "status": "machine-draft" }, "recommendedValue": { "value": "Der Echtzeitschutz von Defender kann vom lokalen Benutzer nicht deaktiviert werden; Ausschlüsse sind streng geregelt (oder leer); SmartScreen Enhanced ist aktiviert. Der Manipulationsschutz selbst wird über das Cloud-Portal von Microsoft Defender für Endpunkt gesetzt – extern überprüfen.", "status": "machine-draft" }, "remediationSteps": { "value": "Im MDE-Portal: Einstellungen > Endpunkte > Erweiterte Features > Manipulationsschutz = Ein (auf alle Geräte anwenden). In der GPO: Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Microsoft Defender Antivirus > „Microsoft Defender Antivirus deaktivieren“ = Deaktiviert (ja, doppelte Verneinung – dies bedeutet „Deaktivieren von Defender NICHT zulassen“). Außerdem: > Echtzeitschutz > „Echtzeitschutz deaktivieren“ = Deaktiviert. Prüfen Sie den Unterschlüssel Exclusions sorgfältig – jeder Eintrag dort ist ein Loch, das ein Angreifer finden wird.", "status": "machine-draft" } }, "ADLOG-006": { "name": { "value": "Abonnement-Manager für Windows-Ereignisweiterleitung (WEF)", "status": "machine-draft" }, "description": { "value": "Protokolle, die nur auf dem Host existieren, der sie erzeugt hat, sind exakt so nützlich wie die lokale Festplatte dieses Hosts, nachdem der Angreifer sie gelöscht hat. Die Windows-Ereignisweiterleitung übermittelt Protokolle zum Zeitpunkt des Schreibens an einen Collector außerhalb des Hosts. Ohne eine SubscriptionManager-GPO, die jeden Endpunkt auf den Collector verweist, findet keine WEF statt.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Gruppenrichtlinie „Zielabonnement-Manager konfigurieren“ ist auf Arbeitsstationen und Servern so gesetzt, dass sie auf den WEF-Collector verweist.", "status": "machine-draft" }, "remediationSteps": { "value": "Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Ereignisweiterleitung > „Zielabonnement-Manager konfigurieren“ = Aktiviert. Wert: Server=http://wec-server.domain.tld:5985/wsman/SubscriptionManager/WEC,Refresh=60. Konfigurieren Sie Abonnements auf dem Collector mit XPath-Abfragen für die Ereignisse, die Sie interessieren (4624, 4625, 4688, 4768, 4769, 4104, 1102 usw.). Falls Sie keinen WEF-Collector haben, ist dies das Projekt, mit dem Sie beginnen sollten; für dieselbe Telemetrie ist es fast immer kostengünstiger als eine vollständige Ausrollung von SIEM-Agenten.", "status": "machine-draft" } }, "ADLOG-007": { "name": { "value": "Indikator für Sysmon-Bereitstellung", "status": "machine-draft" }, "description": { "value": "Sysmon (System Monitor, von Sysinternals) ist die Goldstandard-Endpunkttelemetriequelle für die Ereignisse, die die native Windows-Protokollierung nicht gut abdeckt: Datei-Hash bei Prozesserstellung, Netzwerkverbindungen je Prozess, DLL-Ladevorgänge, Registrierungsüberwachung, Named Pipes. Es läuft als Kernelmodustreiber. Aus SYSVOL allein gibt es keine GPO-seitige Erkennung, dass „Sysmon installiert ist“ – der Indikator ist das Vorhandensein einer Sysmon-Konfigurations-GPO oder eines Startskripts, das es bereitstellt. Diese Prüfung gibt eine WARNUNG aus und fordert den Prüfer auf, extern zu verifizieren.", "status": "machine-draft" }, "recommendedValue": { "value": "Sysmon ist auf Arbeitsstationen und Servern über eine Bereitstellungs-GPO oder ein Konfigurationsmanagement installiert, mit einer auf die Umgebung abgestimmten Konfiguration (SwiftOnSecurity, Olaf Hartong oder herstellerseitige Baselines).", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie Sysmon (https://download.sysinternals.com/files/Sysmon.zip) über ein GPO-Startskript oder Ihre Konfigurationsmanagementplattform bereit. Verwenden Sie eine Community-Baseline als Ausgangspunkt (SwiftOnSecurity/sysmon-config oder Olaf Hartong/sysmon-modular). Überprüfen Sie die Bereitstellung mit Get-CimInstance Win32_Service -Filter \"Name='Sysmon64'\" gegen einen repräsentativen Hostsatz oder fragen Sie den WEF-Collector nach „Microsoft-Windows-Sysmon/Operational“-Ereignissen ab.", "status": "machine-draft" } } } |