Сервер қауіпсіздік тарихын небәрі бірнеше сағат сақтауы мүмкін — ал сіз оны байқамауыңыз да мүмкін

Жағдайды елестетіп көріңіз: корпоративтік сервер тәулік бойы жұмыс істейді, қызметкерлер қашықтағы жұмыс үстелі арқылы қосылып, құжаттарды ашады, файлдарды өзгертеді және күнделікті міндеттерін орындайды. Бірақ бір аптадан кейін серверге кім қосылғанын немесе қол жеткізу құқықтарын кім өзгерткенін анықтау қажет болса, қажетті тарих сақталмай қалуы мүмкін.

Дәл осындай мәселені біз Windows Server 2022 орнатылған корпоративтік серверлердің біріне техникалық тексеру жүргізу кезінде анықтадық. Security қауіпсіздік журналының ең жоғары көлемі небәрі 20 МБ. Жаңа оқиғалар үнемі түсіп тұрғандықтан, ескі жазбалар тез арада ығыстырылып отырған.

Корпоративтік серверден не анықтадық

Windows Server 2022 техникалық тексеруі аясында қолданыстағы журналдау параметрлерін, қолжетімді қауіпсіздік журналдарын және пайдаланушылардың қашықтан қосылуы туралы мәліметтерді тексердік.

Тексеру мынаны көрсетті:

• Security журналының ең жоғары көлемі 20 МБ.
• Ағымдағы журналда 30 000-нан астам жазба болды.
• Ескі оқиғаларды циклдік қайта жазу қолданылған.
• Ең ерте сақталған жазбалар тек соңғы бірнеше сағатқа қатысты болды.
• Стандартты орналасуда Security журналының бөлек мұрағаттары табылмады.

Демек, сервер қауіпсіздік оқиғаларын тіркеген, бірақ оларды ұзақ мерзім сақтамаған. Алдыңғы тарихтың елеулі бөлігі ағымдағы журналда жоқ болып шықты.

Бұл жағдай дербестендірілмеген түрде берілген. Тапсырыс берушінің атауы, қызметкерлердің есімдері, IP-мекенжайлар және корпоративтік каталогтардың нақты жолдары жарияланбайды.

Windows Server неге ескі оқиғаларды сақтауды тоқтатады

Security журналы Windows-тағы қолданыстағы баптауларға сәйкес қауіпсіздік оқиғаларын тіркеуге арналған. Конфигурацияға байланысты онда сәтті және сәтсіз кірулер, арнайы артықшылықтарды пайдалану, есептік жазбаларды өзгерту және қорғалатын объектілермен орындалған операциялар туралы мәліметтер болуы мүмкін.

Әр Windows журналының ең жоғары көлемі бар. Бос орын таусылғанда, одан арғы әрекет таңдалған сақтау режиміне байланысты болады.

Циклдік қайта жазу

Циклдік қайта жазу қосулы болса, Windows жаңа оқиғаларға орын босату үшін ең ескі жазбаларды өшіреді. Бұл операциялық жүйенің ақауы емес, штаттық механизм.

Алайда пайдаланушылар тұрақты жұмыс істейтін, фондық тапсырмалар орындалатын және мыңдаған оқиға тіркелетін серверде шағын журнал өте тез толуы мүмкін.

Оқиғалар ағыны неғұрлым қарқынды болса, журналдың ең жоғары көлемі өзгермеген жағдайда сақталған тарих соғұрлым қысқа кезеңді қамтиды.

Тарих жоғалып кеткенде не болады

Ұйымда ортақ бумаға қол жеткізу құқықтарының күтпеген өзгерісі анықталды делік. Сұрақтар туындайды: өзгерісті қай есептік жазба жасады, ол қашан болды, пайдаланушы қай компьютерден қосылды және қандай артықшылықтарға ие болды?

Жауап беру үшін бірнеше оқиғаны өзара салыстыру қажет. Егер тиісті жазбалар қайта жазылып кеткен болса, жағдайды анықтау әлдеқайда қиындайды.

Оған қоса барлық әрекет автоматты түрде тіркеле бермейді. Мысалы, белгілі бір файлдар мен каталогтардағы операцияларды бақылау үшін тиісті журналдау параметрлерін алдын ала баптау қажет.

Қандай Windows оқиғалары жағдайды қалпына келтіруге көмектеседі

Бір оқиғаның өзі пайдаланушы әрекеті туралы түпкілікті қорытынды жасауға жеткіліксіз. Есептік жазбаларды, уақытты, кіру түрлерін, сеанс идентификаторларын және көршілес жазбаларды салыстыру қажет.

Бөлек RDP журналдары: пайдалы ақпарат көзі

Тексеру кезінде негізгі Security журналын ғана емес, қашықтағы жұмыс үстелі қызметтерінің мамандандырылған журналдарын да қарадық.

Кейбір RDP арналарында ұзағырақ кезеңге арналған жазбалар табылды. Олар ағымдағы Security журналында болмаған қашықтан қосылулар мен пайдаланушы сеанстары туралы ақпаратты сақтаған.

RemoteConnectionManager

Журнал Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational қашықтан қосылуларға қатысты оқиғаларды қамтиды.

Атап айтқанда, оқиға 1149 қашықтағы пайдаланушының сәтті аутентификациясын зерттегенде пайдалы болуы мүмкін. Алайда оны жұмыс үстеліне толыққанды кірудің дербес дәлелі деп санауға болмайды.

LocalSessionManager

Журнал Microsoft-Windows-TerminalServices-LocalSessionManager/Operational пайдаланушы сеанстарын құру, ажырату, аяқтау және қайта қосу туралы мәліметтермен жағдайды толықтырады.

Осы арналар мен қолжетімді Security жазбаларын бірге зерттеу негізгі журналдың толық тарихы болмаса да, оқиғалардың бір бөлігін қалпына келтіруге көмектеседі.

Серверді өз бетіңізше қалай тексеруге болады

Бастапқы тексеруді қосымша бағдарламалық қамтылым орнатпай-ақ, Windows Server-дің стандартты құралдарымен орындауға болады.

Параметрлерді PowerShell арқылы тексеру

Security конфигурациясын көру үшін орындаңыз:

wevtutil gl Security

Get-WinEvent -ListLog Security |
    Select-Object LogName,
                  RecordCount,
                  MaximumSizeInBytes,
                  LogMode

Бұл командалар журналдың ағымдағы параметрлерін, соның ішінде ең жоғары көлемі мен сақтау режимін көрсетеді. Ақпарат алу үшін тиісті қол жеткізу құқықтары қажет.

Сақталған тарихтың тереңдігін қалай білуге болады

Security журналындағы ең ерте және ең соңғы қолжетімді оқиғаларды PowerShell арқылы алуға болады:

Get-WinEvent -LogName Security -Oldest -MaxEvents 1 |
    Select-Object TimeCreated, Id, RecordId

Get-WinEvent -LogName Security -MaxEvents 1 |
    Select-Object TimeCreated, Id, RecordId

Алынған жазбалардың күндерін салыстырыңыз. Бұл ағымдағы журналда оқиғалардың нақты қай кезең үшін сақталғанын анықтауға мүмкіндік береді.

Тарих тереңдігін жылдам бағалап, журнал көлемі өзгергенде оның қалай өзгеретінін көру үшін мынаны пайдаланыңыз: Windows Security журналының калькуляторы.

Тарихты ұзақ мерзім қалай сақтауға болады

1. Security көлемін нақты жүктемеге сай таңдау

Барлық ұйымға бірдей сай келетін әмбебап мән жоқ. Қажетті көлем пайдаланушылар санына, оқиғалар қарқындылығына, қолданыстағы баптауларға және қажетті сақтау мерзіміне байланысты.

Алдымен Security журналының нақты толу жылдамдығын анықтап, содан кейін жеткілікті қорымен қажетті көлемді есептеу керек.

2. Кеңейтілген оқиға журналдауын баптау

Windows Server қауіпсіздік оқиғаларын тіркеудің кеңейтілген саясатын (Advanced Audit Policy Configuration) қолдайды. Ол оқиғалардың әртүрлі санаттары мен ішкі санаттарын бөлек басқаруға мүмкіндік береді.

Корпоративтік серверде мына бағыттарға ерекше назар аудару керек:

• Пайдаланушылардың сәтті және сәтсіз кірулері.
• Есептік жазбалар мен парольдердің өзгерістері.
• Пайдаланушыларды артықшылықты топтарға қосу.
• Қауіпсіздік параметрлерін өзгерту.
• Таңдалған корпоративтік файлдар мен каталогтарға жүгіну.

Файлдық жүйемен операцияларды бақылау үшін SACL-ды — нақты объектілермен қандай әрекеттер тіркелуі тиіс екенін анықтайтын жүйелік қол жеткізуді бақылау тізімін де баптау қажет.

Алдын ала жүктемені бағаламай, бүкіл файлдық серверде барлық оқу операцияларын тіркеуді қоса беруге болмайды. Бұл Security журналының өте тез толуына әкелуі мүмкін.

3. Оқиғаларды жергілікті журналдан тыс сақтау

Security көлемін ұлғайту сақтау мерзімін ұзартуға көмектеседі, бірақ мәселені толық шешпейді. Маңызды серверлер үшін автоматты мұрағаттауды немесе оқиғаларды орталықтандырылған жинауды қарастырған жөн.

Инфрақұрылымға байланысты Windows Event Forwarding және мамандандырылған қауіпсіздік мониторингі жүйелері қолданылуы мүмкін.

4. Сақталған тарихты қорғау

Журнал мұрағаттары да қорғанысты қажет етеді. Оларға қол жеткізу құқықтарын бөліп, сақтау орнының қолжетімділігін бақылап, оқиғалардың белгіленген кезең бойы шынымен сақталатынын тексеру қажет.

Windows Server-де тағы нені тексерген жөн

Тарихтың сақталуы — корпоративтік сервер қорғанысының бір бөлігі ғана. Мінсіз бапталған журналдау да пайдаланушылардың артық құқықтарын немесе әкімшілік қол жеткізуді бақылаудың жоқтығын өтей алмайды.

Осы баптауларды бастапқы өзіндік тексеру үшін мынаны пайдалануға болады: Windows Server қауіпсіздігін тексеру. Ол қашықтан қол жеткізуді, әкімшілік құқықтарды, журналдарды, аудитті, резервтік көшіруді, қорғаныс БҚ-сын және файрволды ретімен тексеруге көмектеседі.

Техникалық тексеру нәтижесі бойынша WEB-LABS анықталған мәселелер, олардың ықтимал салдары және конфигурацияны өзгерту жөніндегі ұсынымдар көрсетілген қорытынды дайындай алады.

Техникалық қорғаныс баптаулардан басталады, бірақ адамдарға да байланысты

Тіпті дұрыс бапталған сервер де қызметкерлер әрекетіне байланысты инциденттерді толық болдырмайды. Мысалы, пайдаланушы парольді беруі, фишингтік сілтемеге өтуі немесе күдікті көпфакторлы аутентификация сұрауын растауы мүмкін.

Сондықтан техникалық шараларды қызметкерлерді қауіпсіз жұмыс ережелеріне оқытумен толықтырған жөн.

WEB-LABS корпоративтік оқытуы

WEB-LABS келесі курсты ұсынады: «Қызметкерлерге арналған киберқауіпсіздік негіздері», курс фишингке, есептік жазбаларды қорғауға, әлеуметтік инженерияға, файлдармен және корпоративтік деректермен қауіпсіз жұмыс істеуге, сондай-ақ инциденттерге әрекет етуге арналған.

Корпоративтік пакеттің құны — 20 қызметкерге дейінгі топ үшін 110 000 ₸. Жаңа қызметкерлерді кейін оқыту үшін оқу материалдарына тұрақты қол жеткізу сыйлық ретінде беріледі.

Microsoft техникалық құжаттамасы

Windows Server журналдары мен оқиғаларды тіркеуді баптау туралы қосымша мәліметтер:

• wevtutil арқылы журналдарды басқару
• Оқиғаларды тіркеудің кеңейтілген саясаты
• 4624 қауіпсіздік оқиғасының сипаттамасы