Контроль учетных записей пользователей
Компонент Обнаружение аномалий с помощью Sigma-правил позволяет выполнять функции контроля учетных записей пользователей с помощью предустановленной коллекции Sigma-правил – Коллекция правил для анализа журналов контроля учетных записей пользователей (UAC).
Коллекция Sigma-правил включает в себя обнаружение следующих событий:
- Добавление нового пользователя.
- Добавление пользователя в группу Администраторов.
- Повышение привилегий пользователя.
- Вход пользователя в систему.
- Попытка входа пользователя в систему.
- Выход пользователя из системы.
Список идентификаторов по каждому из событий см. в таблице ниже.
В зависимости от того, входит ли компьютер в домен или нет, поведение приложения отличается:
- Если компьютер входит в домен, приложение не формирует события для коллекции Sigma-правил контроля учетных записей пользователей.
- Если компьютер не входит в домен, приложение изменяет некоторые параметры локальной политики. После выключения коллекции Sigma-правил приложение возвращает параметры локальной политики в исходное состояние.
Чтобы включить контроль учетных записей, выполните следующие действия:
- В главном окне Web Console выберите Активы (Устройства) → Политики и профили политик.
- Нажмите на название политики Kaspersky Industrial CyberSecurity for Nodes.
Откроется окно свойств политики.
- Выберите вкладку Параметры приложения.
- В разделе Обнаружение аномалий с помощью Sigma-правил нажмите на кнопку Добавить.
Откроется окно Добавление коллекции правил.
- С помощью раскрывающегося списка Выберите коллекцию правил выберите коллекцию Sigma-правил Коллекция правил для анализа журналов контроля учетных записей пользователей (UAC).
- Нажмите на кнопку OK.
При срабатывании Sigma-правил из коллекции приложение формирует события о срабатывании и отправляет события в Kaspersky Security Center и Kaspersky Industrial CyberSecurity for Nodes for Network.
Идентификаторы событий, входящих в коллекцию Sigma-правил контроля учетных записей пользователей
Событие | Windows XP | Windows 7 и выше |
|---|---|---|
Добавление нового пользователя. | 624 | 4720 |
Добавление пользователя в группу Администраторов. | 632 636 660 | 4728 4732 4756 |
Повышение привилегий пользователя. | 576 633 637 639 641 659 661 | 4729 4733 4735 4737 4755 4757 4672 4964 |
Вход пользователя в систему. | 528 540 | 4624 |
Попытка входа пользователя в систему. | 529 530 531 532 533 534 535 536 537 539 | 4625 |
Выход пользователя из системы. | 538 | 4634 |
