Tool zur Ereignisprotokoll-Analyse

[luk44]

Hallo zusammen, 

ich bin gerade auf Recherche für meinen Betrieb und wollte mich mal umhören, wie eure Betriebe das handhaben bzw. eure EDV. 

Zurzeit haben wir 3 DC-Server. Gewünscht bzw. gesucht von mir ist jetzt ein Tool, welches das Ereignisprotokoll filtert und beispielsweise alle 4625 Event ID zusammen ausgibt, sodass nicht auf jedem DC einzeln nachgeschaut werden muss. 

Habt ihr gute Softwareempfehlungen bzw. wie ist es bei euch gelöst? 

Vielen Dank vorab. 

 

Viele Grüße 

 

[RealPride]

Powershell nutzen und explizit nach dieser Event ID filtern.

PS: Powershell ist das beste administrative Tool, welches du nutzen kannst.

Bearbeitet 1. März 2022 von RealPride

[luk44]

vor 7 Stunden schrieb RealPride:

Powershell nutzen und explizit nach dieser Event ID filtern.

PS: Powershell ist das beste administrative Tool, welches du nutzen kannst.

Klar per Powershell gehts, aber es würde trotzdem das Automatisierte hierbei fehlen. Eine Art Monitoring mit Meldung via Mail wenn sich beispielsweise ein Nutzer gesperrt hat ist gewünscht. 

[mylurid]

Geht auch per PowerShell.. nennt sich Dauerschleife bzw Endlosschleife.

Bearbeitet 2. März 2022 von mylurid

[allesweg]

Welche automatisierte Überwachungssysteme habt ihr denn schon?

Oder generell: wie automatisiert ihr denn aktuell?

[luk44]

vor 6 Minuten schrieb allesweg:

Welche automatisierte Überwachungssysteme habt ihr denn schon?

Oder generell: wie automatisiert ihr denn aktuell?

Bezüglich der DC noch garnicht. Wenn wir nachverfolgen möchten, wer, weshalb gesperrt ist, müssen wir erst auf jeden der DC einzeln nachschauen. 
Ansonsten arbeiten wir zum Sicherheitsmonitoring mit Falcon. 

Bearbeitet 2. März 2022 von luk44

[hardi04]

In unserem globalen AD haben wir einen SCOM mit Audit Collector Service am laufen, der die relevanten Events der Security Logs der DCs einsammelt. Zusätzlich haben wir ein Webportal, über das sich die lokalen AD Admins der einzelnen Gesellschaften dann für ihren jeweiligen Userstamm bestimmte Events wie z.B. 4740 ausgeben lassen können (letzteres aber eine Eigenentwicklung).

In unseren "Alt-Domänen" haben wir das seinerzeit deutlich simpler gelöst: Es gibt ja Event getriggerte Scheduled Tasks, mit denen kann man sich seine Wunsch Events auch irgendwo zentral hinschreiben lassen.

In meiner Zeit als Consultant war ich einige Zeit bei einem Kunden beschäftigt der ein Produkt von Solarwinds im Einsatz hatte, was ebenfalls die Event Logs der DCs (und anderer Server) gesammelt hatte zwecks zentralem Monitoring, sah damals nicht verkehrt aus.