În mod surprinzător, versiunea mea elastică 7.15 cu licență de bază a instalat serverul flotei și apoi a configurat Windows-policy cu elastic-endpoint și integrarea Windows. au activat toate regulile; cu toate acestea, nu văd nicio aplicație de securitate pentru jurnalele. Folosesc în mod special feet server pentru a înrola agenți și pentru a colecta jurnalele Windows.
Am adăugat agent Windows pe controlerul meu de domeniu, precum și pe ADC, dar încă nu văd niciun jurnal.
Un indiciu de ce? În plus, văd mai jos jurnalele în kibana.log în mod constant.
{"type":"log","@timestamp":"2021-10-07T22:43:49+05:30","tags":["info","plugins","securitySolution"],"pid ":1102,"message":"[+] S-a încheiat indexarea 0 semnale căutate între intervalele de date [\n {\n \"la\": \"2021-10-07T17:13:49.667Z\",\n \ „de la\”: \"2021-10-07T17:04:49.667Z\",\n \"maxSignals\": 100\n }\n] nume: \"Acces la cheie de sistem prin linia de comandă\" id: \" c2c1fbc1-229f-11ec-803f-17c1b2345c64\" codul regulii: \"d75991f2-b989-419d-b797-ac1e54ec2d61\" index de semnale: \".siem-signals-default\""}
{"type":"log","@timestamp":"2021-10-07T22:43:49+05:30","tags":["error","plugins","securitySolution"],"pid ":1102,"message":"A apărut o eroare în timpul execuției regulii: mesaj: \"index_not_found_exception: [verification_exception] Motiv: S-a găsit o problemă\nline -1:-1: Index necunoscut [*,-*]\" nume: Id-ul \"Ștergerea jurnalelor de evenimente Windows\": \"c2c1fbd5-229f-11ec-803f-17c1b2345c64\" codul regulii: \"d331bbe2-6db4-4941-80a5-8270db72eb61\". \""}
{"type":"log","@timestamp":"2021-10-07T23:21:53+05:30","tags":["error","plugins","securitySolution"],"pid ":10188,"message":"A apărut o eroare în timpul execuției regulii: mesaj: \"index_not_found_exception: [verification_exception] Motiv: S-a găsit o problemă\nline -1:-1: Index necunoscut [*,-*]\" nume: Id-ul „Crearea fișierului executabil suspect al serviciului PrintSpooler”: „c2c2710c-229f-11ec-803f-17c1b2345c64” ID-ul regulii: „5bb4a95d-5a08-48eb-80db-4c3a63ec”78a8a63ec. -Mod implicit\""}
{"type":"log","@timestamp":"2021-10-07T23:21:53+05:30","tags":["error","plugins","securitySolution"],"pid ":10188,"message":"A apărut o eroare în timpul execuției regulii: mesaj: \"index_not_found_exception: [verification_exception] Motiv: S-a găsit o problemă\nline -1:-1: Index necunoscut [*,-*]\" nume: Id-ul „Crearea fișierului neobișnuit - Flux alternativ de date”: „c2c41eb3-229f-11ec-803f-17c1b2345c64” codul regulii: „71bccb61-e19b-452f-b104-79a60e546a95”. semnale-implicit\""}
{"type":"log","@timestamp":"2021-10-07T23:21:53+05:30","tags":["error","plugins","securitySolution"],"pid ":10188,"message":"A apărut o eroare în timpul execuției regulii: mesaj: \"index_not_found_exception: [verification_exception] Motiv: S-a găsit o problemă\nline -1:-1: Index necunoscut [*,-*]\" nume: ID-ul „Persistență prin WMI Standard Registry Provider”: „c2c445ba-229f-11ec-803f-17c1b2345c64”: „70d12c9c-0dbd-4a1a-bc44-1467502c9cf64s“. -Mod implicit\""}
{"type":"log","@timestamp":"2021-10-07T23:21:53+05:30","tags":["error","plugins","securitySolution"],"pid ":10188,"message":"A apărut o eroare în timpul execuției regulii: mesaj: \"index_not_found_exception: [verification_exception] Motiv: S-a găsit o problemă\nline -1:-1: Index necunoscut [*,-*]\" nume: ID-ul \"Microsoft Exchange Worker care generează procese suspecte\": \"c2c445b7-229f-11ec-803f-17c1b2345c64\" codul regulii: \"f81ee52c-297e-46d9-9205-07ee6693". -Mod implicit\""}
{"type":"log","@timestamp":"2021-10-07T23:21:53+05:30","tags":["error","plugins","securitySolution"],"pid ":10188,"message":"A apărut o eroare în timpul execuției regulii: mesaj: \"index_not_found_exception: [verification_exception] Motiv: S-a găsit o problemă\nline -1:-1: Index necunoscut [*,-*]\" nume: Id-ul „Persistență prin Microsoft Outlook VBA”: „c2c3345f-229f-11ec-803f-17c1b2345c64” ID-ul regulii: „397945f3-d39a-4e6f-8bcb-9656c2031438:\" signals-index:\"alssiem-index:\". Mod implicit\""}
{"type":"log","@timestamp":"2021-10-07T23:21:53+05:30","tags":["error","plugins","securitySolution"],"pid ":10188,"message":"A apărut o eroare în timpul execuției regulii: mesaj: \"index_not_found_exception: [verification_exception] Motiv: S-a găsit o problemă\nline -1:-1: Index necunoscut [*,-*]\" nume: Id-ul „Persistență prin scriptul de pornire automată KDE sau modificarea fișierului desktop”: „c2c3f7a8-229f-11ec-803f-17c1b2345c64”: codul regulii: „e3e904b3-0a8e-4e68-86a8-979f-11ec-803f-17c1b2345c64”. siem-signals-default\""}
{"type":"log","@timestamp":"2021-10-07T23:21:53+05:30","tags":["error","plugins","securitySolution"],"pid ":10188,"message":"A apărut o eroare în timpul execuției regulii: mesaj: \"index_not_found_exception: [verification_exception] Motiv: S-a găsit o problemă\nline -1:-1: Index necunoscut [*,-*]\" nume: Id-ul „Instalarea furnizorului de asistență de securitate”: \"c2c3344f-229f-11ec-803f-17c1b2345c64\" codul regulii: \"e86da94d-e54b-4fb5-b96c-cecff87e8787: \" signals-indexals\". Mod implicit\""}
