Auditing e Log

Indica quale o quali risposte secondo te sono vere

I log sono complessi da organizzare e manutenere. Non è possibile, infatti, gestire i log in maniera categorizzata ma i log di windows si basano su categorie prestabilite e non modificabili
I log vanno sempre monitorati costantemente attraverso l’utilizzo di software automatizzati che ne scansionano il contenuto e inviano notifiche agli amministratori IT in caso di eventi anomali
I log di windows possono essere sostituiti o in alcuni casi dismessi se vengono utilizzati software terzi come ad esempio splunk o graylog
I log di windows possono essere reindirizzati ad un server centrale attraverso la funzione “send external log”
Nessuna risposta è corretta

È possibile limitare le dimensioni dei log:

da gpo introducendo una policy che è unica a livello globale per le categorie dei log
da gpo introducendo una policy che si differenzia per categoria dei log
non è possibile in quanto la gestione delle dimensioni dei log è a carico del sistema operativo che, in base allo spazio residuo sulla partizione indicata, cancella gli eventi più vecchi nei log
È possibile tramite GPO ma solo sui server e sui collettori centralizzati dei log in quanto, in un’infrastruttura organizzata, i log vengono quasi sempre inviati ad un server centrale. E’ tale server che gestisce i log e le regole che ne definiscono l’occupazione e la cancellazione

Quali di queste è una categoria di log: (risposta multipla)

Setup log
Appliance log
Network log
External log
Security log
System log
Registry log

I log Applicativi sono log che:

Collezionano gli eventi relativi alle applicazioni windows
Collezionano gli eventi riguardo ad arresto anomalo di applicazioni windows
Collezionano i log delle applicazioni che sono state impostate e scritte per essere loggate in tale registro
Sono creati per registrare eventi sullo scambio dati tra applicazioni a livello di rete
Sono log che riguardano genericamente applicazioni non solo microsoft

I 4 livelli di log sono

Warning,information,critical,error
Minor,information,Several,error
Warning,information,Critical,irreversible
Information,debug,critical,fatal
Service,config,debug,error
Notice,alert,critical,blocker

I security log si occupano di tracciare (risposta multipla)

Eventi relativi agli oggetti di active directory
I soli Eventi relativi a login – logout con successo o falliti
Gli eventi di enumerazione oggetti esempio utenti appartenenti ad un gruppo
L’aggiunta e la rimozione di chiavi di registro nel sistema locale

Gli eventi di cancellazione dei log li troviamo:

Security log
Application log
Event log
System Log

Gli eventi di installazione e aggiornamento di patch a sistema operativo li troviamo in

System.log
Security.log
Application.log
Setup.log
Update.log

DCpromo.log contiene (risposta multipla)

Informazioni sulle attività dei Domain controller nell’infrastruttura
Informazioni riguardanti gli eventi scaturiti da attività di gestione e manutenzione dei log in essere in active directory
Informazioni riguardanti il processo di replica tra i dc e sysvol
Informazioni riguardanti la dismissione (demotion) di un dc

La differenza tra dcpromo e dcpromoui log è

Il log che termina con ui contiene le sole informazioni delle operazioni effettuate a interfaccia grafica dall’utente
Il log ui contiene la progressione delle operazioni effettuate per un determinato domain controller durante le fasi di Promotion e demotion ma in maniera meno dettagliata del log non UI
Il log ui contiene la progressione delle operazioni effettuate per un determinato domain controller durante le fasi di Promotion e demotion ma in maniera più dettagliata del log non UI
Nessuna, semplicemente se si promuove un DC da console o powershell il log non sarà UI perché non è stata usata un’interfaccia

Nei log di auditing possiamo effettuare (tra le altre) il monitoraggio di eventi: (risposta multipla)

Installazione e rimozione di applicazioni
Eventi legati al cambio di privilegi
Account logon
System event

Quali sono i passaggi da effettuare per fare un collect dei log centralizzato?

Abilitare il protocollo ntlm sulle macchine di destinazione – Aggiungere il pc che farà da collector al gruppo di event manager – accedere al pc che farà da collector – creare una subscription
Disabilitare il firewall sulle macchine di destinazione – Aggiungere il pc che farà da collector al gruppo di event manager – accedere al pc che farà da collector – creare una subscription
Abilitare il protocollo kerberos sulle macchine di destinazione – Aggiungere il pc che farà da collector al gruppo di event manager – creare una utenza con privilegi elevati e assegnarla al processo di collection sulla macchina collector -accedere al pc che farà da collector – creare una subscription
Abilitare winRm sulle macchine di destinazione – Aggiungere il pc che farà da collector al gruppo di event log Readers – accedere al pc che farà da collector – creare una subscription definendo quali saranno i pc a inviare i log

Powershell: come avere dettagli dei log d’ evento

Get-EventViewerLog -list
Return-EventLogEvent -List
Get-EventLog -list
Get-ForwardedEventLogList -PCname (dove pc name è il nome della postazione di cui si vogliono i log)

Siem – log collector e programmi di log management: alcune differenze principali tra le soluzioni alternative e l’ event viewer di windows

Adottato un programma log collector possiamo ignorare il registro degli eventi di windows perché avremo tutti i log collezionati nel nostro software
Adottato un programma log collector possiamo utilizzare esclusivamente gli agenti di quel prodotto.
Per utilizzare un siem dobbiamo disabilitare i log negli event viewer per evitare confusione se non duplicazione tra i log collezionati dal log collector e i sistemi di windows
Le differenze sostanziali sono nella centralizzazione del servizio di log, nella reportistica avanzata, negli alert e nelle opzioni aggiuntive che offrono questi sistemi
Un siem sostituisce di fatto integralmente il log viewer di windows ampliandone le funzionalità e consentendoci di non controllare nell’event viewer

Gli eventi di cancellazione file e directory vengono loggati:

Evento 4660 solo per la cancellazione dei file
Evento 4660 per la cancellazione di oggetti cartella
Evento 4670 specifico per la cancellazione delle cartelle a sistema
Evento 4670 specifico per la cancellazione di oggetti a FS attraverso utenze Privilegiate
Nessuna risposta corretta

Auditing e Log

Clicca qui ed inizia il tuo test

Test Summary

Informazioni

Risultati

Risultati

Categorie

1. Domanda

2. Domanda

3. Domanda

4. Domanda

5. Domanda

6. Domanda

7. Domanda

8. Domanda

9. Domanda

10. Domanda

11. Domanda

12. Domanda

13. Domanda

14. Domanda

15. Domanda

Assistenza tecnica

Contattaci

Assistenza per l'utilizzo

Contattaci

Assistenza tecnica

Contattaci

Assistenza per l'utilizzo

Contattaci