10 најбољих пракси које треба да знате за Виндовс евиденцију догађаја

Научите најбољу комбинацију пракси евиденције Виндовс догађаја

Морате да се уверите да вам евиденције догађаја које забележите дају праве информације о здрављу мреже или покушају кршења безбедности, због напретка у технологији.

Док организације покушавају да примене најбоље праксе за Виндовс евиденције догађаја, они и даље не успевају да формулишу политику праћења фокусирану на безбедност.

У овом водичу ћемо вам дати 10 најбољих пракси за Виндовс евиденцију догађаја који ће вам помоћи да решите све негативне изазове у вашој мрежи. Хајдемо одмах у то.

Зашто је неопходна примена најбољих пракси Виндовс евиденције догађаја?

Дневници догађаја садрже важне информације о сваком инциденту који се догоди на интернету. Ово укључује све безбедносне информације, активности пријављивања или одјаве, неуспешне/успешне покушаје приступа и још много тога.

Такође можете знати за инфекције малвером или кршење података користећи евиденцију догађаја. Мрежни администратор ће имати приступ у реалном времену да прати потенцијалне безбедносне претње и може одмах да предузме мере за ублажавање проблема који се појавио.

Штавише, многе организације морају да одржавају евиденције Виндовс догађаја да би биле у складу са законском усаглашеношћу за ревизијске трагове итд.

Које су најбоље праксе евиденције Виндовс догађаја?

У овом чланку

• Зашто је неопходна примена најбољих пракси Виндовс евиденције догађаја?
• Које су најбоље праксе евиденције Виндовс догађаја?
• 1. Омогући ревизију
• 2. Дефинишите своју политику ревизије
• 3. Централно обједините евиденцију евиденције
• 4. Омогућите праћење и обавештења у реалном времену
• 5. Уверите се да имате политику задржавања дневника
• 6. Смањите неред у догађајима
• 7. Уверите се да су сатови синхронизовани
• 8. Дизајнирајте праксе евидентирања на основу политика ваше компаније
• 9. Уверите се да унос у дневник садржи све информације
• 10. Користите ефикасне алате за праћење и анализу дневника

1. Омогући ревизију

Да бисте надгледали евиденцију Виндовс догађаја, прво морате да омогућите ревизију. Када је ревизија омогућена, моћи ћете да пратите активност корисника, активност пријављивања, кршења безбедности или друге безбедносне догађаје итд.

Једноставно омогућавање ревизије није корисно, али морате омогућити ревизију за ауторизацију система, приступ датотекама или фасциклама и друге системске догађаје.

Када ово омогућите, добићете детаљне детаље о системским догађајима и моћи ћете да решите проблеме на основу информација о догађајима.

2. Дефинишите своју политику ревизије

Политика ревизије једноставно значи да морате да дефинишете које евиденције безбедносних догађаја желите да снимите. Након што објавите захтеве усаглашености, локалне законе и прописе и инциденте које морате да евидентирате, користићете вишеструко.

Главна предност би била да ће тим за управљање безбедношћу ваше организације, правно одељење и друге заинтересоване стране добити потребне информације за решавање било каквих безбедносних проблема. Као опште правило, морате ручно да подесите политику ревизије на појединачним серверима и радним станицама.

3. Централно обједините евиденцију евиденције

Имајте на уму да евиденције Виндовс догађаја нису централизоване, што значи да сваки мрежни уређај или систем бележи догађаје у сопствене евиденције догађаја.

Да би стекли ширу слику и помогли да се проблеми брзо ублаже, администратори мреже морају да пронађу начин да споје записе у централним подацима ради потпуног праћења. Штавише, ово ће помоћи у праћењу, анализи и извештавању много лакше.

Не само да ће централизована консолидација евиденција помоћи, већ би требало да буде подешено да се ради аутоматски. Како је укљученост великог броја машина, корисника итд. ће закомпликовати прикупљање података дневника.

4. Омогућите праћење и обавештења у реалном времену

Многе организације више воле да користе исту врсту уређаја свуда заједно са истим оперативним системом, што је најчешће Виндовс ОС.

Међутим, администратори мреже можда неће увек желети да надгледају један тип оперативног система или уређаја. Можда желе флексибилност и опцију да изаберу више од само праћења евиденције Виндовс догађаја.

За ово, требало би да се одлучите за Сислог подршку за све системе укључујући УНИКС и ЛИНУКС. Штавише, требало би да омогућите праћење евиденције у реалном времену и да обезбедите да се сваки анкетирани догађај бележи у редовним интервалима и генерише упозорење или обавештење када се открије.

Најбољи метод би био да се успостави систем за праћење догађаја који бележи све догађаје и конфигурише већу фреквенцију анкетирања. Када се ухватите у коштац са догађајима и системом, можете да упишете и смањите број догађаја које желите да надгледате.

5. Уверите се да имате политику задржавања дневника

Само централно прикупљање дневника не значи много на дужи рок. Као једна од најбољих пракси Виндовс евиденције догађаја, требало би да водите рачуна о томе да имате политику задржавања дневника.

Када омогућите политику задржавања дневника на дуже периоде, упознаћете перформансе своје мреже и уређаја. Штавише, такође ћете моћи да пратите кршења података и догађаје који су се десили током времена.

Можете подесити политику задржавања дневника користећи Мицрософт Евент Виевер и подесите максималну величину сигурносног дневника.

Прочитајте више о овој теми

• Шта је ОИС.еке и како да поправим грешке у апликацији?
• Како да направите резервну копију или извезете Виндовс дневник догађаја
• Како да решите проблем да прегледач догађаја не ради у Виндовсима 10 и 11
• Шта је Дотнетфк.еке и како га преузети и инсталирати?

6. Смањите неред у догађајима

Иако је поседовање евиденције свих догађаја одлична ствар коју имате у свом арсеналу као мрежног администратора, евидентирање превише догађаја такође може да вам одврати пажњу од оног који је важан.

Можете превидети критичне информације и то може довести до заобилажења кршења безбедности. У том случају, требало би да пажљиво проверите своју безбедносну политику и као једну од најбољих пракси евиденције Виндовс догађаја, предлажемо да евидентирате само критичне догађаје.

7. Уверите се да су сатови синхронизовани

Иако сте поставили најбоље смернице за праћење и надгледање евиденција Виндовс догађаја, од суштинског је значаја да имате синхронизоване сатове на свим вашим системима.

Једна од основних и најбољих пракси Виндовс евиденције догађаја коју можете да следите је да се уверите да су сатови синхронизовани широм плоче како бисте били сигурни да имате исправне временске ознаке.

Чак и ако постоји мала неусклађеност у времену међу системима, то ће резултирати отежаним праћењем догађаја и такође може довести до безбедносног пропуста у случају да се догађаји дијагностикују касно.

Обавезно проверавајте системске сатове сваке недеље и подесите тачно време и датум да бисте ублажили безбедносне ризике.

8. Дизајнирајте праксе евидентирања на основу политика ваше компаније

Политика евидентирања и догађаји који се евидентирају су важна предност за сваку организацију за решавање проблема са мрежом.

Дакле, требало би да се уверите да је политика евидентирања коју сте применили у складу са смерницама компаније. Ово може укључивати:

• Контроле приступа засноване на улогама
• Праћење и решавање у реалном времену
• Примените политику најмањих привилегија када конфигуришете ресурсе
• Проверите евиденцију пре складиштења и обраде
• Маскирајте осетљиве информације које су важне и кључне за идентитет организације

9. Уверите се да унос у дневник садржи све информације

Безбедносни тим и администратори би требало да се удруже како би направили програм за евидентирање и праћење који ће обезбедити да имате све информације потребне за ублажавање напада.

Ево уобичајене листе информација које треба да имате у уносу у дневник:

• Глумац – Ко има корисничко име и ИП адресу
• поступак – Прочитај/напиши на ком извору
• време – Временска ознака настанка догађаја
• Локација – Геолокација, назив кодне скрипте

Горе наведене четири информације чине информације ко, шта, када и где у дневнику. А ако знате одговоре на ова кључна четири питања, моћи ћете да правилно ублажите проблем.

Ручно решавање проблема са евиденцијом догађаја није тако сигурно и може се показати као погодак и промашај. У том случају, предлажемо вам да користите алате за праћење и анализу евиденције.

Ради ваше удобности, имамо водич који наводи неке од најбољи алати за анализу дневника догађаја које можете користити. Листа садржи бесплатне и напредне алате за анализу.

Штавише, можете погледати нашу листу најбољи софтвер за праћење дневника за Виндовс 10 и 11 да аутоматизује и добије руку помоћи у решавању проблема.

То је то од нас у овом водичу. Имамо водич који детаљно објашњава како можете да поправите прегледник догађаја који не ради у Виндовс 10 и 11 проблемима.

Слободно нас обавестите у коментарима испод који скуп најбољих пракси евиденције Виндовс догађаја следи са горње листе.