Weboldal keresés

Jogosulatlan szoftvertelepítés észlelése a kiszolgálón

A Windows Serveren lévő gyanús szoftverek az Ön alkalmazottja által végzett jogosulatlan telepítés eredménye, vagy hackerek támadásából származhatnak. Minden gyanús szoftver érzékeny adatok kiszivárgását okozhatja, nem is beszélve a szerver teljesítményének lelassulásáról vagy a megfelelőségi irányelvek megsértéséről.

Éppen ezért létfontosságú, hogy tisztában legyünk a szoftvertelepítések minden előfordulásával, és lássuk, mit telepítettek, ki és mikor végezte el - röviddel azután, hogy megtörtént.

Natív ellenőrzés

1. Futtassa az eventvwr.msc-t > Windows Logs > Kattintson jobb gombbal az „Alkalmazásnapló” elemre, majd válassza a Tulajdonságok lehetőséget:

  • Győződjön meg arról, hogy a „Naplózás engedélyezése” jelölőnégyzet be van jelölve
  • Növelje a napló méretét legalább 1 GB-ra
  • Állítsa be a megőrzési módot az „Események szükség szerint felülírása” vagy „A napló archiválása, ha megtelt” értékre.

2. Nyissa meg az Eseménynaplót, és keresse meg az alkalmazásnaplóban az 11707-es eseményazonosítót az MsiInstaller Event Source segítségével, hogy megtalálja az utoljára telepített szoftvert.

3. Bármilyen szoftvertelepítéskor aktiválódó azonnali riasztás létrehozásához módosítania kell a következő PowerShell-szkriptet a paraméterek beállításával, és .ps1-fájlként (pl. detect_software) mindenhová mentve.

$Subject = “New Software Has Been Installed” # Message Subject 
$Server = “smtp.server” # SMTP Server 
$From = “From@domain.com” # From whom we are sending an e-mail(add anonymous logon permission if needed) 
$To = “To@domain.com” # To whom we are sending
$Pwd = ConvertTo-SecureString “enterpassword” -AsPlainText –Force #Sender account password 
#(Warning! Use a very restricted account for the sender, because the password stored in the script will be not encrypted)
$Cred = New-Object System.Management.Automation.PSCredential(“From@domain.com” , $Pwd) #Sender account credentials 
$encoding = [System.Text.Encoding]::UTF8 #Setting encoding to UTF8 for message correct display
#Powershell command for filtering the security log about created user account event  
$Body=Get-WinEvent -FilterHashtable @{LogName=”Application”;ID=11707;ProviderName='MsiInstaller'} | Select TimeCreated, Message, UserID | select-object -first 1 
#Sending an e-mail. 
Send-MailMessage -From $From -To $To -SmtpServer $Server -Body “$Body” -Subject $Subject -Credential $Cred -Encoding $encoding

4. Futtassa a Feladatütemező > Új ütemezési feladat létrehozása > Adja meg a nevét > Triggerek lap > Új trigger > Állítsa be a következő beállításokat:

  • Kezdje el a feladatot egy eseményen
  • Napló - Alkalmazás
  • Forrás - Üres
  • Eseményazonosító - 11707

5. Lépjen a „Műveletek” lapra > Új művelet a következő paraméterekkel:

  • Művelet - Indítson el egy programot
  • Programszkript: PowerShell
  • Argumentumok hozzáadása (opcionális): -Fájl "adja meg a fájl elérési útját a szkriptünkhöz"

6. Kattintson az „OK” gombra.

7. Mostantól minden szoftvertelepítésről értesítést kap a Windows Serverre egy e-mail üzenetben, amely tartalmazza a szoftver telepítési idejét, a szoftver nevét és a telepítő felhasználói azonosítóját (SID).

8. A felhasználói SID fióknévvé alakításához nyissa meg a következő szkriptet a PowerShell ISE-ben, írja be a SID-t, és kattintson a „Futtatás” gombra:

$objSID = New-Object System.Security.Principal.SecurityIdentifier("Enter your SID Here") 
$objUser = $objSID.Translate([System.Security.Principal.NTAccount]) 
$objUser.Value

Netwrix Auditor Windows Server rendszerhez

1. Futtassa a Netwrix Auditor > Felügyelt objektumok > Windows Server lehetőséget > Kattintson a „Futtatás” elemre a naplók összegyűjtéséhez (a naplógyűjtés egy adott ütemezés szerint automatikusan megtörténik; előfordulhat, hogy itt manuálisan kell kattintania a „Futtatás” gombra, hogy ne várjon a következőre. ütemezett adatgyűjtés) > Nyissa meg a naplógyűjtés után kapott e-mailt.

2. Bármilyen szoftvertelepítéskor aktiválódó azonnali riasztás létrehozásához lépjen a „Felügyelt objektumok” > Windows Server > Eseménynapló > Jobb gombbal kattintson a „Valós idejű riasztások” > Új valós idejű figyelmeztetés > Állítsa be a riasztás nevét, majd kattintson a „Következő” > Kattintson az „Eseményszűrő hozzáadása” lehetőségre > Állítsa be a szűrő nevét > Alkalmazás eseménynaplójának beállítása > Lépjen az „Eseményszűrők” fülre > Eseményazonosító beállítása=11707 > Kattintson az „OK” és a „Befejezés” gombra.

3. Mostantól e-mailt kaphat minden egyes szoftvertelepítésről a kiszolgálón.

Ne hagyja ki a valós életben előforduló eseteket, amikor észleli a jogosulatlan szoftvertelepítést a Windows Server rendszeren!

Kapcsolódó cikkek