Sunucunuza Yetkisiz Yazılım Kurulumunun Tespiti

Windows Server'ınızdaki şüpheli yazılım, kendi çalışanınızın yetkisiz kurulumunun sonucu olabilir veya bilgisayar korsanlarının saldırısından kaynaklanabilir. Herhangi bir şüpheli yazılım, potansiyel olarak hassas verilerin sızmasına, sunucu performansının yavaşlamasına veya uyumluluk politikalarının ihlaline neden olabilir.

Bu nedenle, herhangi bir yazılım kurulumu olayından haberdar olmak ve neyin kurulduğunu, bunu kimin ve ne zaman yaptığını (kurulumdan kısa bir süre sonra) görmek hayati önem taşımaktadır.

Yerel Denetim

1. eventvwr.msc dosyasını çalıştırın > Windows Günlükleri > "Uygulama" günlüğüne sağ tıklayın > Özellikler:

  • “Günlüğe kaydetmeyi etkinleştir” onay kutusunun seçili olduğundan emin olun
  • Günlük boyutunu en az 1 GB artırın
  • Saklama yöntemini "Gerektiğinde olayların üzerine yaz" veya "Dolduğunda günlüğü arşivle" olarak ayarlayın

2. Olay Görüntüleyiciyi açın ve en son yüklenen yazılımı bulmak için MsiInstaller Olay Kaynağı ile uygulama günlüğünde 11707 olay kimliğini arayın.

3. Herhangi bir yazılım kurulumunda tetiklenen anlık bir uyarı oluşturmak için, parametrelerinizi ayarlayıp her yere bir .ps1 dosyası olarak (ör., Detect_software) kaydederek aşağıdaki PowerShell komut dosyasını düzenlemeniz gerekir.

$Subject = “New Software Has Been Installed” # Message Subject 
$Server = “smtp.server” # SMTP Server 
$From = “From@domain.com” # From whom we are sending an e-mail(add anonymous logon permission if needed) 
$To = “To@domain.com” # To whom we are sending
$Pwd = ConvertTo-SecureString “enterpassword” -AsPlainText –Force #Sender account password 
#(Warning! Use a very restricted account for the sender, because the password stored in the script will be not encrypted)
$Cred = New-Object System.Management.Automation.PSCredential(“From@domain.com” , $Pwd) #Sender account credentials 
$encoding = [System.Text.Encoding]::UTF8 #Setting encoding to UTF8 for message correct display
#Powershell command for filtering the security log about created user account event  
$Body=Get-WinEvent -FilterHashtable @{LogName=”Application”;ID=11707;ProviderName='MsiInstaller'} | Select TimeCreated, Message, UserID | select-object -first 1 
#Sending an e-mail. 
Send-MailMessage -From $From -To $To -SmtpServer $Server -Body “$Body” -Subject $Subject -Credential $Cred -Encoding $encoding

4. Görev Zamanlayıcı'yı çalıştırın > Yeni zamanlama görevi oluştur > Adını girin > Tetikleyiciler sekmesi > Yeni tetikleyici > Aşağıdaki seçenekleri ayarlayın:

  • Bir etkinlikte göreve başlayın
  • Günlük - Başvuru
  • Kaynak - Boş
  • Olay Kimliği - 11707

5. Aşağıdaki parametrelerle "Eylemler" Sekmesi > Yeni eyleme gidin:

  • Eylem - Bir program başlatın
  • Program betiği: PowerShell
  • Argüman ekleyin (isteğe bağlı): -Dosya “komut dosyamızın yolunu belirtin”

6. “Tamam”a tıklayın

7. Artık Windows Server'ınızdaki her yazılım yüklemesi hakkında, yazılım yükleme zamanı, yazılım adı ve yükleyicinin kullanıcı kimliğini (SID) içeren ayrıntıları içeren bir e-posta mesajı yoluyla bilgilendirileceksiniz.

8. Kullanıcı SID'sini Hesap Adına dönüştürmek için PowerShell ISE'de aşağıdaki betiği açın, SID'yi girin ve "Çalıştır"a tıklayın:

$objSID = New-Object System.Security.Principal.SecurityIdentifier("Enter your SID Here") 
$objUser = $objSID.Translate([System.Security.Principal.NTAccount]) 
$objUser.Value

Windows Server için Netwrix Denetleyicisi

1. Netwrix Auditor'ı çalıştırın > Yönetilen Nesneler > Windows Server > Günlükleri toplamak için “Çalıştır”a tıklayın (günlük toplama belirli bir programa göre otomatik olarak gerçekleştirilir; burada bir sonraki işlemi beklemekten kaçınmak için “Çalıştır” düğmesine manuel olarak tıklamanız gerekebilir. planlanmış veri toplama) > Günlük toplandıktan sonra alınan bir e-postayı açın.

2. Herhangi bir yazılım kurulumunda tetiklenen anlık bir uyarı oluşturmak için "Yönetilen Nesneler" > Windows Server > Olay Günlüğü'ne gidin > "Gerçek zamanlı uyarılar"ı sağ tıklayın > Yeni Gerçek zamanlı uyarı > Uyarının adını ayarlayın ve seçeneğine tıklayın. “İleri” > “Olay Filtresi Ekle”ye tıklayın > Filtrenin adını ayarlayın > Uygulama Olay Günlüğünü Ayarlayın > “Olay Filtreleri” sekmesine gidin > Olay Kimliğini Ayarla=11707 > “Tamam” ve “Son”a tıklayın.

3. Artık sunucunuza her yazılım kurulumunda bir e-posta alabileceksiniz.

Windows Server'da yetkisiz yazılım kurulumunu tespit etmeye yönelik gerçek hayattaki kullanım örneklerini kaçırmayın!

İlgili makaleler