Телеграмм чат группы phd

ну у меня через GPO настроено задание в виндовом планировщике, которое запускает скрипт раз в час. Скрипт же в свою очередь смотрит установлен и запущен ли sysmon... если да, то просто заново подтягивает файл с конфигом, если нет то устанавливает/запускает службу со свежим конфигом.
Сам конфиг лежит на файловом сервере.. если в него внести изменения, то он сам подтянется на компы и серваки.

источник

11:06пожаловаться #8

i♓

ilya ♓️ holo36 in SOС Технологии

Damir Tazetdinov

ну у меня через GPO настроено задание в виндовом планировщике, которое запускает скрипт раз в час. Скрипт же в свою очередь смотрит установлен и запущен ли sysmon... если да, то просто заново подтягивает файл с конфигом, если нет то устанавливает/запускает службу со свежим конфигом.
Сам конфиг лежит на файловом сервере.. если в него внести изменения, то он сам подтянется на компы и серваки.

у меня SCCM ходит и делает эту грязь

источник

11:07пожаловаться #9

DT

Damir Tazetdinov in SOС Технологии

ilya ♓️ holo36

у меня SCCM ходит и делает эту грязь

ну у нас админы дурные, SCCM у них давно не поддерживается и работает через одно место...

источник

11:08пожаловаться #10

DT

Damir Tazetdinov in SOС Технологии

надёжней через GPO

источник

11:08пожаловаться #11

DT

Damir Tazetdinov in SOС Технологии

можно в принципе через Kaspersky Security Center деплоить, если такой имеется

источник

11:09пожаловаться #12

i♓

ilya ♓️ holo36 in SOС Технологии

https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-other-policy-change-events
о , умнейшие, кому-то S-события пригождались хоть раз?

Docs

Audit Other Policy Change Events (Windows 10) - Windows security

The policy setting, Audit Other Policy Change Events, determines if audit events are generated for security policy changes that are not otherwise audited.

источник

11:09пожаловаться #13

KM

Kirill Mitrofanov 🌱... in SOС Технологии

Heirhabarov Teymur

https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventID=5156

спасибо

источник

11:16пожаловаться #14

SS

Sergey Soldatov in SOС Технологии

Heirhabarov Teymur

Выше уже писали - Sysmon/EDR

Можно посмотреть ещё Elastic Endpoint agent, когда игрался с ним, очень понравился. Результаты упражнений https://reply-to-all.blogspot.com/2020/10/mdr-elastic-siem-elastic-endpoint.html

Blogspot

Тестируем Elastic Endpoint Agent с Elasitc SIEM

Стандартом де-факто для самодельного MDR долгое время был sysmon и даже MITRE публикует детекты для него. Есть куча в прошлом SOC-ов, продв...