MID-Server Befehls-Audit-Protokoll

  • Freigeben Version: Yokohama
  • Aktualisiert 30. Januar 2025
  • 2 Minuten Lesedauer

    • Das Befehls-Audit-Protokoll zeichnet die Befehle auf, die von ausgeführt werden MID-ServerFür DiscoveryAnwendung. Überprüfen Sie die Befehle, um nach Anomalien oder Fehlern zu suchen.

    Richten Sie den Indikator für die Sicherheitsphase einStellen Sie sicher, dass der MID-Server eine Verbindung zu Elementen innerhalb und außerhalb Ihres Netzwerks herstellen kannLaden Sie den MID-Server herunter, und installieren Sie ihn auf einem Linux- oder Windows-HostKonfigurieren Sie Ihren MID-ServerKonfigurieren Sie die MID-ServersicherheitStellen Sie sicher, dass der MID-Server eine Verbindung zu Elementen innerhalb und außerhalb Ihres Netzwerks herstellen kannLaden Sie den MID-Server herunter, und installieren Sie ihn auf einem Linux- oder Windows-HostKonfigurieren Sie Ihren MID-ServerKonfigurieren Sie die MID-Serversicherheit

    Das Audit-Protokoll für MID-Serverbefehl ist ein Datensatz der Befehle MID-ServerWird während der Discovery ausgeführt. Beispielsweise kann die Ausführung eines Musters viele separate Befehle ausführen. Die MID-ServerDas Befehls-Audit-Protokoll unterstützt Powershell-Befehle für WMI und WinRM. Für SSH-Befehle unterstützt das Audit-Protokoll SSNC, aber nicht J2SSH. In Quebec unterstützt das Befehls-Audit-Protokoll nur die Aufzeichnung der während der Discovery ausgeführten Befehle.

    Aktivieren Sie das Befehls-Audit-Protokoll

    Die MID-ServerAudit-Protokoll ist mit aktiviert MID-ServerEigenschaft mid.log.command_audit.enable, Der standardmäßig auf „falsch“ festgelegt ist. Fügen Sie die Eigenschaft in hinzu MID-Servereigenschaften Tabelle [ecc_agent_property_list.do]. Nach der Aktivierung wird MID-ServerAuf Befehls-Audit-Protokolle wird in der Instanz durch Navigieren zu zugegriffen MID-Server > Befehlsauditprotokolle [ecc_agent_command_audit_log_list.do]. Um diese Tabelle anzuzeigen oder zu ändern, muss der Anwender über die Rolle verfügen Agent_Security_admin .

    Typische Daten in den Auditprotokollen für MID-Serverbefehle.

    Daten, die in den Befehls-Audit-Protokollen aufgezeichnet wurden

    Die MID-ServerDas Befehls-Audit-Protokoll zeichnet den Namen des Befehls und den Befehls-Hash auf. Wenn beispielsweise während der Discovery eine Probe keinen Befehl ausführt, sondern stattdessen ein Skript ausführt, wird der Skriptname aufgezeichnet. Der Befehls-Hash wird basierend auf dem Inhalt des Skripts berechnet, unabhängig vom Namen. Daher wirkt sich das Ändern des Namens nicht auf den Befehls-Hash aus.

    Wenn eine Probe, z. B. ein WMIRunner, einen Befehl mit mehreren WMI-Feldern ausführt, erstellt WMI ein Skript, um diese Felder abzufragen. Das Skript wird vorübergehend auf erstellt MID-ServerHost im temporären Ordner. Nachdem das Skript ausgeführt wurde, wird es aus dem temporären Ordner entfernt. Das Skript erhält einen Namen basierend auf den Feldern und einer zufälligen Zahl. Der Hash-Schlüssel ist jedoch bei denselben Inhalten immer derselbe.

    Das Befehls-Audit-Protokoll meldet den Ausführungsstatus entweder als Erfolg oder als Fehler. Der Datensatzeintrag ist ein Erfolg, wenn der Befehl ausgeführt wurde, oder ein Fehler, wenn er nicht ausgeführt werden konnte. Das Befehls-Audit-Protokoll berücksichtigt das Ergebnis des ausgeführten Befehls nicht. Beispiel: Ein Befehl, der ausgeführt wird, die Erfassung von Daten jedoch fehlschlägt, wird im Ausführungsstatus weiterhin als Erfolg aufgeführt.

    Discovery unterstützt JEA-Profile für WinRM. Die MID-ServerDas Befehls-Audit-Protokoll zeichnet das JEA-Profil des Discovery-Befehls auf, falls verfügbar. Siehe Microsoft Just Enough Administration (JEA) für Discovery Für weitere Informationen zu JEA-Profilen.

    Standardmäßig wird die Tabelle alle sieben Tage rotiert. Weitere Informationen finden Sie unter Tabellenrotation .