Data/Locales/checks/it/ADLoggingChecks.json
|
{ "_family": "ADLoggingChecks.json", "ADLOG-001": { "name": { "value": "Criterio di audit avanzato configurato", "status": "machine-draft" }, "description": { "value": "Il criterio di audit legacy a nove categorie è troppo grossolano per le indagini moderne: può dirti che QUALCOSA non è andato a buon fine sotto 'Controlla eventi di accesso account', ma non se si trattava di un errore di preautenticazione Kerberos, di una richiesta di ticket di servizio o di un passaggio esplicito di credenziali. Windows supporta il criterio di audit avanzato (oltre 60 sottocategorie) fin da Vista, ma va abilitato esplicitamente. La presenza di audit.csv nella cartella SYSVOL del Default Domain Controllers Policy è l'indicatore, osservabile sul canale, del fatto che il dominio ha effettuato la migrazione.", "status": "machine-draft" }, "recommendedValue": { "value": "Il Default Domain Controllers Policy distribuisce un file audit.csv (Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Audit Policies > <sottocategorie>).", "status": "machine-draft" }, "remediationSteps": { "value": "Apri il Default Domain Controllers Policy in GPMC. Passa a Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Audit Policies. Abilita come minimo: Account Logon > Kerberos Service Ticket Operations (Success+Failure), Logon/Logoff > Logon (Success+Failure) + Special Logon (Success), Account Management > tutto (Success), Object Access > File Share + Detailed File Share (Success+Failure se monitori il movimento laterale), Detailed Tracking > Process Creation (Success). Abilita inoltre 'Audit: Force audit policy subcategory settings' in Security Options affinché prevalga sulle impostazioni legacy a nove categorie.", "status": "machine-draft" } }, "ADLOG-002": { "name": { "value": "PowerShell Script Block Logging abilitato", "status": "machine-draft" }, "description": { "value": "L'evento 4104 (PowerShell Script Block Logging) è il singolo evento Windows più utile per investigare le intrusioni moderne: cattura il codice PowerShell effettivamente eseguito dopo la deoffuscazione, incluso il codice passato tramite -EncodedCommand. Senza di esso, chi indaga su una distribuzione di ransomware basata su PowerShell è cieco. L'impostazione viene applicata da un modello amministrativo in HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows\\PowerShell\\ScriptBlockLogging\\EnableScriptBlockLogging.", "status": "machine-draft" }, "recommendedValue": { "value": "Il criterio di gruppo 'Turn on PowerShell Script Block Logging' è Enabled a livello di dominio o di OU dei DC. Registro: EnableScriptBlockLogging = 1.", "status": "machine-draft" }, "remediationSteps": { "value": "Computer Configuration > Policies > Administrative Templates > Windows Components > Windows PowerShell > 'Turn on PowerShell Script Block Logging' = Enabled. Verifica dopo gpupdate: Get-ItemProperty 'HKLM:\\SOFTWARE\\Policies\\Microsoft\\Windows\\PowerShell\\ScriptBlockLogging'. Assicurati che la capacità del registro eventi 'Microsoft-Windows-PowerShell/Operational' sia dimensionata per il volume (i 15 MB predefiniti si esauriscono nel giro di ore sotto carico).", "status": "machine-draft" } }, "ADLOG-003": { "name": { "value": "PowerShell Module Logging abilitato", "status": "machine-draft" }, "description": { "value": "L'evento 4103 (PowerShell Module Logging) registra le invocazioni di cmdlet e parametri di qualsiasi modulo configurato per il logging. Abbinato allo Script Block Logging, fornisce uno stack di telemetria ad alta affidabilità per qualsiasi attacco basato su PowerShell. L'impostazione viene applicata da un modello amministrativo in HKLM\\SOFTWARE\\Policies\\Microsoft\\Windows\\PowerShell\\ModuleLogging.", "status": "machine-draft" }, "recommendedValue": { "value": "Il criterio di gruppo 'Turn on Module Logging' è Enabled con almeno l'elenco di nomi di modulo '*'. Registro: EnableModuleLogging = 1.", "status": "machine-draft" }, "remediationSteps": { "value": "Computer Configuration > Policies > Administrative Templates > Windows Components > Windows PowerShell > 'Turn on Module Logging' = Enabled. Aggiungi '*' all'elenco Module Names (registra tutti i moduli) oppure specificamente Microsoft.PowerShell.* più i moduli che il tuo ambiente usa per l'amministrazione.", "status": "machine-draft" } }, "ADLOG-004": { "name": { "value": "Audit della creazione dei processi con riga di comando", "status": "machine-draft" }, "description": { "value": "L'evento 4688 (creazione dei processi) è il segnale fondamentale per il movimento laterale: indica quale processo è stato avviato e da chi. L'evento 4688 predefinito NON include la riga di comando, il che lo rende quasi inutile per le indagini che coinvolgono PowerShell, wmic, mshta o altri binari living-off-the-land. Il criterio 'Include command line in process creation events' colma questa lacuna.", "status": "machine-draft" }, "recommendedValue": { "value": "Il criterio di gruppo 'Include command line in process creation events' è Enabled E la sottocategoria del criterio di audit avanzato 'Audit Process Creation' è impostata su Success.", "status": "machine-draft" }, "remediationSteps": { "value": "Due impostazioni, entrambe necessarie: (1) Computer Configuration > Policies > Administrative Templates > System > Audit Process Creation > 'Include command line in process creation events' = Enabled. (2) Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Detailed Tracking > Audit Process Creation = Success. Senza (1), gli eventi 4688 arrivano privi della stringa dell'argomento NewProcessName. Senza (2), non arrivano affatto.", "status": "machine-draft" } }, "ADLOG-005": { "name": { "value": "Criterio di protezione antimanomissione di Microsoft Defender", "status": "machine-draft" }, "description": { "value": "Se il tuo EDR può essere disattivato dall'endpoint senza un'azione amministrativa, ogni aggressore lo disattiverà come primo passo del proprio schema d'attacco. La protezione antimanomissione di Defender (e l'equivalente in qualsiasi EDR moderno) blocca la disattivazione locale. Questo controllo cerca le impostazioni GPO che governano la protezione in tempo reale di Defender: lo stato completo della protezione antimanomissione si imposta nel cloud (portale Intune/MDE), ma l'hardening lato GPO è verificabile da SYSVOL.", "status": "machine-draft" }, "recommendedValue": { "value": "La protezione in tempo reale di Defender non può essere disattivata dall'utente locale; le esclusioni sono rigorosamente governate (o vuote); SmartScreen Enhanced è attivo. La protezione antimanomissione in sé si imposta tramite il portale cloud di Microsoft Defender for Endpoint: verificala fuori banda.", "status": "machine-draft" }, "remediationSteps": { "value": "Nel portale MDE: Settings > Endpoints > Advanced features > Tamper Protection = On (applicalo a tutti i dispositivi). In GPO: Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus > 'Turn off Microsoft Defender Antivirus' = Disabled (sì, doppia negazione: significa 'NON consentire la disattivazione di Defender'). Inoltre: > Real-Time Protection > 'Turn off real-time protection' = Disabled. Esamina con attenzione la sottochiave Exclusions: ogni voce è un varco che un aggressore troverà.", "status": "machine-draft" } }, "ADLOG-006": { "name": { "value": "Subscription Manager di Windows Event Forwarding (WEF)", "status": "machine-draft" }, "description": { "value": "I log che esistono solo sull'host che li ha generati sono utili esattamente quanto il disco locale di quell'host dopo che l'aggressore lo ha cancellato. Windows Event Forwarding invia i log fuori dalla macchina, a un collettore, nel momento in cui vengono scritti. Senza una GPO SubscriptionManager che indirizzi ogni endpoint al collettore, il WEF non avviene.", "status": "machine-draft" }, "recommendedValue": { "value": "Il criterio di gruppo 'Configure target Subscription Manager' è impostato su workstation e server in modo da puntare al collettore WEF.", "status": "machine-draft" }, "remediationSteps": { "value": "Computer Configuration > Policies > Administrative Templates > Windows Components > Event Forwarding > 'Configure target Subscription Manager' = Enabled. Valore: Server=http://wec-server.domain.tld:5985/wsman/SubscriptionManager/WEC,Refresh=60. Configura le sottoscrizioni sul collettore con query xpath per gli eventi che ti interessano (4624, 4625, 4688, 4768, 4769, 4104, 1102, ecc.). Se non disponi di un collettore WEF, questo è il progetto da cui partire; è quasi sempre più economico di un rollout completo di agenti SIEM per la stessa telemetria.", "status": "machine-draft" } }, "ADLOG-007": { "name": { "value": "Indicatore di distribuzione di Sysmon", "status": "machine-draft" }, "description": { "value": "Sysmon (System Monitor, di Sysinternals) è la fonte di telemetria degli endpoint di riferimento per gli eventi che il logging nativo di Windows non copre bene: hash del file alla creazione del processo, connessioni di rete per processo, caricamenti di DLL, monitoraggio del registro, named pipe. Viene eseguito come driver in modalità kernel. Non esiste un rilevamento lato GPO del fatto che 'Sysmon è installato' basandosi sul solo SYSVOL: l'indicatore è la presenza di una GPO di configurazione Sysmon o di uno script di avvio che lo distribuisce. Questo controllo genera un AVVISO e chiede all'auditor di verificare fuori banda.", "status": "machine-draft" }, "recommendedValue": { "value": "Sysmon è installato su workstation e server tramite una GPO di distribuzione o un push di gestione della configurazione, con una configurazione ottimizzata per l'ambiente (baseline di SwiftOnSecurity, Olaf Hartong o fornite dal vendor).", "status": "machine-draft" }, "remediationSteps": { "value": "Distribuisci Sysmon (https://download.sysinternals.com/files/Sysmon.zip) tramite script di avvio GPO o la tua piattaforma di gestione della configurazione. Usa una baseline della community come punto di partenza (SwiftOnSecurity/sysmon-config oppure Olaf Hartong/sysmon-modular). Verifica la distribuzione tramite Get-CimInstance Win32_Service -Filter \"Name='Sysmon64'\" su un insieme rappresentativo di host, oppure interroga il collettore WEF per gli eventi 'Microsoft-Windows-Sysmon/Operational'.", "status": "machine-draft" } } } |