Log-Management

    Deep Scriptblock Logging: PowerShell-Kommandos im Eventlog aufzeichnen

    Scriptblock-Logs in der EreignisanzeigeAls mächtiges Werk­zeug ist Power­Shell nicht nur für Admins, son­dern auch für Hacker interes­sant. Um ver­dächtige Aktivi­täten zu ent­decken, ist es hilf­reich, alle ausge­führten Befehle mitzu­schneiden. Neben dem Auf­zeichnen in einer Text­datei unter­stützt PowerShell seit der Version 5 auch die Proto­kollierung im Eventlog.

    PowerShell-Logging: Befehle in Transcript-Datei aufzeichnen

    PowerShell-Transcripts starten und stoppenUm dem Miss­brauch von PowerShell auf die Schliche zu kommen, kann man sämt­liche aus­geführte Komman­dos und Scripts mit­schneiden. Dafür exi­stieren zwei Mecha­nismen, einer davon schreibt alle Ein- und Aus­gaben in eine Datei. Es empfiehlt sich, die gesam­melten Daten an zentraler Stelle zusammen­zuführen.

    Nachfolger für Windows PowerShell: PowerShell 7 bringt Log-Forwarding, Credential-Store, Long Term Servicing

    Setup für PowerShell 7 PreviewPowerShell 7 ist die nächste Version von PowerShell Core und beruht auf .NET Core 3.0. Aller­dings ent­fällt der Namenszusatz "Core", weil Micro­soft mit dem Release 7 Windows PowerShell er­setzen will. Daher soll es mit fast allen be­stehenden Windows-Modulen kompa­tibel sein. Hinzu kommen einige neue Features.

    EventSentry 4.0: Änderungen im Active Directory überwachen

    EventSentry ADMonitorEventSentry ist ein erschwing­liches SIEM-Tool (Security Infor­mation and Event Manage­ment), das Windows- sowie Linux-Systeme über­wacht und über alle Vor­gänge im Netz­werk infor­miert. Die wich­tigste Neuerung der Version 4.0 besteht im Add-on ADMonitor, das sämt­liche Änderungen im Active Directory erfasst.

    Technisches Webinar: Änderungen im Active Directory nachvollziehen, Angriffe auf das Netzwerk schnell erkennen

    SIEM-Tool ManageEngine Log360IT-Umgebungen in Firmen bieten Hackern und Mal­ware zahlreiche Angriffs­punkte. Umso wich­tiger ist es für Admini­stratoren, über ver­dächtige Aktivi­täten recht­zeitig infor­miert zu werden, um sofort Gegen­maß­nahmen zu er­greifen. Bei dieser Auf­gabe helfen ihnen SIEM-Tools, indem sie Sys­teme in Echt­zeit über­wachen.

    Troubleshooting von VMware vSphere: Logs, Events und Tasks

    Log-AuswertungDie wich­tigsten Informations­quellen zur Fehler­analyse in IT-Umgebungen und so­mit auch bei VMware sind Log-Dateien, Tasks und Ereig­nisse. Das gilt sowohl für vCenter als auf für ESXi und virtuelle Maschinen. Ich zeige, wo die wich­tigsten Protokoll­dateien zu finden sind und mit welchen Bord­mitteln man sie durchsucht.

    Überwachung des DHCP-Servers konfigurieren und auswerten mit PowerShell

    DHCP ServerDer DHCP-Dienst von Windows Server er­laubt es, wesent­liche Aktivi­täten wie das Zu­weisen oder Er­neuern einer IP-Adresse, das Löschen einer Lease oder dabei auf­tretende Fehler zu proto­kollieren. Dafür ver­wendet er eine eigene Log-Datei. Ihre Konfi­guration und die Aus­wertung kann PowerShell über­nehmen.

    vCenter warten: vpx-Daten-Provider zurücksetzen, Coredumps und Logs löschen

    ESXi PSODEin über­mäßiges An­wachsen der Daten­bank kann nega­tive Folgen im Betrieb und bei der Mig­ration von vCenter haben. Mit dem Reset der vpx-Provider lässt sich aber nicht nur die Inventory-Daten­bank be­reinigen, viel­mehr kann diese Maß­nahme auch andere Pro­bleme mit vCenter und dem Web Client beheben.

    Auditing: Administratoren im Active Directory überwachen

    Active Directory AuditingZu den kritischen Enti­täten im Active Directory gehören admini­strative Gruppen. Wenn sich deren Mit­glied­schaften oder die Pass­wörtern von enthaltenen Konten ändern, dann sollte die System­verwaltung davon erfahren. Daher empfiehlt es sich, für diesen Zweck die Überwachungs­funktionen für den Verzeichnis­dienst zu aktivieren.

    Verdächtige Aktivitäten aufzeichnen mit Sysmon und auswerten mit PowerShell

    SysInternals SysmonZu den SysInternals gehört Sysmon, das zahl­reiche Aktivi­täten des Betriebs­systems über­wacht. Daraus können sich Hin­weise auf Schad­code oder Angriffe ergeben. Die Heraus­forderung besteht darin, die rele­vanten Daten aus der Viel­zahl von Log-Einträgen zu filtern.

    Seiten