Настройка параметров аудита для работы с Kaspersky Managed Detection and Response

Развернуть все | Свернуть все

Для стабильной работы и максимальной эффективности Kaspersky Managed Detection and Response рекомендуется настроить параметры аудита следующим образом:

• Настройка политики аудита событий Windows

  Чтобы повысить эффективность работы Kaspersky Managed Detection and Response, необходимо настроить политику аудита событий Windows на активах.

  Чтобы настроить политику аудита событий Windows:

  1. В Windows нажмите сочетание клавиш Win+R, чтобы открыть окно Выполнить.
  2. В поле Открыть введите gpedit.msc, и нажмите на клавишу Enter или на кнопку ОК. Откроется окно Редактор локальной групповой политики.
  3. В дереве консоли выберите Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Конфигурация расширенной политики аудита → Политики аудита системы – Объект локальной групповой политики.
  4. Выберите узел Вход в учетные записи. В правой части окна укажите следующие значения:

     Подкатегория	События аудита
     Аудит проверки учетных данных	Успех и Отказ
     Аудит службы аутентификации Kerberos	Успех и Отказ
     Аудит операций с билетами службы Kerberos	Успех и Отказ

  5. Выберите узел Управление учетными записями. В правой части окна укажите следующие значения:

     Подкатегория	События аудита
     Аудит управления учетными записями компьютеров	Успех и Отказ
     Аудит управления группами безопасности	Успех
     Аудит управления учетными записями пользователей	Успех и Отказ

  6. Выберите узел Доступ к службе каталогов (DS). В правой части окна укажите следующие значения:

     Подкатегория	События аудита
     Аудит доступа к службе каталогов	Успех и Отказ
     Аудит изменений службы каталогов	Успех и Отказ

  7. Выберите узел Вход/выход. В правой части окна укажите следующие значения:

     Подкатегория	События аудита
     Аудит блокировки учетных записей	Ошибка
     Аудит входа в систему	Успех и Отказ
     Аудит специального входа в систему	Успех и Отказ

  8. Выберите узел Доступ к объектам. В правой части окна укажите следующие значения:

     Подкатегория	События аудита
     Аудит служб по сертификации	Успех и Отказ
     Аудит общих папок	Успех
     Аудит подключения платформы фильтрации	Успех
     Аудит других событий доступа к объектам	Успех

  9. Выберите узел Изменение политики. В правой части окна укажите следующие значения:

     Подкатегория	События аудита
     Аудит изменения политики	Успех
     Аудит изменения политики на уровне правил MPSSVC	Успех

  10. Выберите узел Использование прав. В правой части окна укажите следующее значение:

      Подкатегория	События аудита
      Аудит использования прав, затрагивающих конфиденциальные данные	Успех

  11. Выберите узел Система. В правой части окна укажите следующие значения:

      Подкатегория	События аудита
      Аудит изменения состояния безопасности	Успех
      Аудит расширения системы безопасности	Успех

  12. В дереве консоли выберите Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Windows PowerShell. В правой части окна укажите следующее значение:

      Подкатегория	События аудита
      Включить регистрацию блоков сценариев PowerShell	Включено

  13. Закройте окно Редактор локальной групповой политики.

      Все изменения сохранятся автоматически.

  Будет настроена политика аудита событий Windows для работы с Kaspersky Managed Detection and Response.

• Настройка аудита объектов Active Directory

  Чтобы повысить эффективность работы Kaspersky Managed Detection and Response, необходимо настроить параметры аудита на контроллерах доменов Windows.

  Чтобы настроить аудит для объектов Active Directory:

  1. В контроллере домена Windows нажмите сочетание клавиш Win+R, чтобы открыть окно Выполнить.
  2. В поле Открыть введите dsa.msc и нажмите на клавишу Enter или на кнопку OK. Откроется окно Пользователи и компьютеры Active Directory.
  3. В дереве консоли нажмите правой кнопкой мыши в поле <доменное имя> и выберите Найти. Откроется окно Поиск пользователей, контактов и групп.
  4. Введите Администратор в поле Имя и нажмите на кнопку Найти.
  5. В области Результаты поиска нажмите правой кнопкой мыши объект Администратор и выберите Свойства → Безопасность → Дополнительно и перейдите на вкладку Аудит.
  6. Нажмите на кнопку Добавить, чтобы открыть окно Аудит для администратора. Нажмите на кнопку Выбрать участника, введите Все, нажмите на кнопку Проверить имена и ОК.
  7. В окне Аудит записи для администратора установите флажки Список содержимого, Чтение разрешений, Смена разрешений, Смена владельца, Чтение всех свойств и Запись всех свойств.
  8. Нажмите OK → Применить → OK.

     Аудит для объекта Администратора Active Directory теперь настроен для использования с Kaspersky Managed Detection and Response.

  9. Выполните те же действия для следующих используемых по умолчанию объектов Active Directory, а также для важных пользователей и групп домена, которые существуют и включены в вашей системе:

  • Администраторы
  • Группа с разрешением репликации паролей RODC
  • Издатели сертификатов
  • Клонируемые контроллеры домена
  • Запрещенная группа репликации паролей RODC
  • DnsAdmins
  • DnsUpdateProxy
  • Администраторы домена
  • Компьютеры домена
  • Контроллеры домена
  • Администраторы предприятия
  • Администраторы ключей предприятия
  • Корпоративные контроллеры домена только для чтения
  • Владельцы и создатели групповой политики
  • Администраторы ключей
  • krbtgt
  • Защищенные пользователи
  • Серверы RAS и IAS
  • Контроллеры домена только для чтения
  • Администраторы схемы
• Настройка аудита служб сертификации Active Directory, шаблонов сертификатов и объектов сертификатов

  Чтобы повысить эффективность Kaspersky Managed Detection and Response, необходимо настроить параметры аудита служб сертификации Active Directory, шаблонов и объектов сертификатов на узлах с включенными службами сертификации Active Directory.

  Чтобы настроить аудит служб сертификации Active Directory:

  1. Нажмите сочетание клавиш Win+R, чтобы открыть окно Выполнить.
  2. В поле Открыть введите cmd и нажмите клавишу Enter или кнопку OK. Откроется окно командной строки.
  3. Чтобы настроить параметры аудита центра сертификации, введите следующие команды и нажмите Enter:

     certutil -setreg CA\AuditFilter 127

     certutil -setreg policy\EditFlags +EDITF_AUDITCERTTEMPLATELOAD

  4. Чтобы перезапустить службу сертификации, введите следующую команду и нажмите Enter:

     net stop certsvc && net start certsvc

  Чтобы настроить аудит безопасности для шаблонов сертификатов:

  1. Нажмите сочетание клавиш Win+R, чтобы открыть окно Выполнить.
  2. В поле Открыть введите adsiedit.msc и нажмите на клавишу Enter или на кнопку OK.
  3. Нажмите правой кнопкой мыши ADSI Edit и выберите Подключиться к.
  4. В разделе Точка подключения выберите Конфигурация в поле Выбор известного контекста именования.
  5. В панели слева дважды нажмите на Конфигурация/Схема.
  6. Выберите папку CN=Configuration,DC=… → CN=Services → CN=Public Key Services → CN=Certificate Templates.
  7. Нажмите правой кнопкой мыши на папку CN=Certificate Templates, выберите Свойства и откройте вкладку Безопасность.
  8. Нажмите на кнопку Дополнительно и выберите вкладку Аудит.
  9. Нажмите на кнопку Все субъекты, установите флажки Запись всех свойств, Удаление, Смена разрешений, Смена владельца, Все проверенные операции записи и нажмите ОК.

  Чтобы настроить аудит безопасности объекта NTAuthCertificates:

  1. В поле Открыть введите adsiedit.msc, и нажмите на клавишу Enter или на кнопку OK.
  2. Нажмите правой кнопкой мыши ADSI Edit и выберите Подключиться к.
  3. В разделе Точка подключения выберите Конфигурация в поле Выбор известного контекста именования.
  4. В панели слева дважды нажмите на Конфигурация/Схема.
  5. Выберите папку CN=Configuration,DC=… → CN=Services → CN=Public Key Services → CN=NTAuthCertificates.
  6. Нажмите правой кнопкой мыши на папку CN=NTAuthCertificates, выберите Свойства и откройте вкладку Безопасность.
  7. Нажмите на кнопку Дополнительно и выберите вкладку Аудит.
  8. Нажмите на кнопку Все субъекты, установите флажки Запись всех свойств, Удаление, Смена разрешений, Смена владельца, Все проверенные операции записи и нажмите ОК.