Meine Windows Systeme sind bereits seit einiger Zeit an mein Elastic SIEM angebunden. Aber die Linux Systeme fehlen noch. Es wird Zeit, dass ich das nachhole. Und dabei stelle ich auch gleich noch SYSMON for Linux mit bereit.
Weiterlesen
Autor: sysadm
Elastic SIEM – Umgang mit Alerts und Cases
Elastic SIEM-Rules werden Alerts generieren. Hier zeige ich euch, wie ich mit den Meldungen umgehe, Ausnahmen erstelle und Cases bearbeite. Dafür habe ich im Vorfeld meine Systeme etwas geärgert… 😀
Weiterlesen
Serie „Migration zu Windows Server 2025“ – Migration des ersten Domain Controllers
Jetzt ist es soweit: Ich stelle den ersten Domain Controller auf Windows Server 2025 um. Der eigentliche Vorgang ist in wenigen Arbeitsschritten erledigt. Aber die Vor- und Nacharbeiten können und sollten viel Zeit in Anspruch nehmen. Woran man hier denken muss und was es alles zu kontrollieren gibt, zeige ich in diesem Beitrag.
Weiterlesen
Serie „Migration zu Windows Server 2025“ – Migration eines Druck- und Scan-Servers
Mein Migrationsprojekt kommt gut voran. Heute ist mein Print-Server an der Reihe. Diesen nutze ich auch als Ziel für Scan-2-SMB. Das gewählte Migrationsszenario bringt viel Anpassungsaufwand mit und etwas TroubleShooting ist natürlich auch dabei.
Weiterlesen
Elastic SIEM – erste SIEM-Rules
Es wird Zeit, die reine Logsammlung in meinem Elastic-Search durch ein SIEM aufzuwerten. SIEM steht für Security Information and Event Management. Dabei werden Regeln zur Suche von bestimmten Logs und Log-Kombinationen verwendet, um Anomalien und Sicherheitsverstöße festzustellen und bei Bedarf Alarm auszulösen. Hier zeige ich euch meine Strategie dazu.
Weiterlesen
Serie „Migration zu Windows Server 2025“ – Migration der NPS-Server
Heute migriere ich meine beiden NPS-Server (Network Policy Server aka. Radius Server) von Windows Server 2019 auf Windows Server 2025. Beim ersten Server hatte ich einige Probleme und dabei kam ein nettes TroubleShooting heraus. Wer mich kennt, der weiß, dass ich so etwas liebe! 😉
Weiterlesen
gMSA TroubleShooting unter Windows Server 2025
Auf meinen neuen Systemen mit Windows Server 2025 kann ich meine Group Managed Service Accounts (gMSA) nicht verwenden. Bei der Implementierung erhalte ich einen Fehler. Stimmt da was mit Windows Sevrer 2025 nicht oder habe ich etwas falsch gemacht? Hier gibts mein TroubleShooting und die Lösung. 😉
Weiterlesen
Serie „Migration zu Windows Server 2025“ – Migration der DHCP-Server
Meine nächsten Migrationskandidaten für die Migration auf Windows Server 2025 sind meine beiden DHCP-Server. Diese lassen sich wirklich einfach umstellen.
Weiterlesen
Serie „Migration zu Windows Server 2025“ – Migration der PKI
Meine erste produktive Migration soll meinen Server WS-CA1 mit Windows Server 2019 durch einen Windows Server 2025 austauschen. Dabei migriere ich meine PKI und tausche gleichzeitig noch mein Root-CA-Zertifikat aus.
Weiterlesen
Serie „Migration zu Windows Server 2025“ – Vorbereitungen
Dies ist der produktive Start meines Migrationsprojektes auf Windows Server 2025. Bevor ich meine meist virtuellen Server austausche erstelle ich mir ein Golden-Image und bereite meine Gruppenrichtlinien vor. Hierbei gab es ein Problem, das ich lösen musste.
Weiterlesen
Serie „Migration zu Windows Server 2025“ – Planung
Ich habe nicht viele Server, aber dennoch muss ich mir Gedanken über deren Migration auf Windows Server 2025 machen. In diesem Beitrag stecke ich meine Ziele ab und plane die Reihenfolge der einzelnen Servermigrationen.
Weiterlesen
Serie „Migration zu Windows Server 2025“ – Übersichtsseite
In den nächsten Monaten aktualisiere ich meine Windows Server 2019 auf Windows Server 2025. Dabei dokumentiere ich sehr genau meine Vorgehensweise. Und alles ist enthalten: Erfolge, Änderungen und Rollbacks. Dieser Beitrag ist die Übersicht zur Migration.
Weiterlesen
Elastic SIEM – Schutz der „saved objects“ vom Kibana
Im Kibana sehe ich immer wieder Warnungen, dass ein Encryption Key die teilweise sensiblen Daten vom Kibana in den saved objects sicherer machen würde. Also erstelle ich den dafür erforderlichen Encryption Key und sichere damit die saved objects vom Kibana ab.
Weiterlesen
Elastic SIEM – Events gezielt mit dem processor drop_events herausfiltern
Mein Datenvolumen im ElasticSearch wächst immer weiter an. Ich habe mittlerweile mehrfach neuen Speicher hinzufügen müssen. Aber nun ist Schluss damit: ich will die Ursache finden und lösen. In diesem Beitrag zeige ich, wie ich eine unnötige Menge an Events identifiziere und diese gezielt mit dem drop_event processor herausfiltere.
Weiterlesen
Elastic SIEM – Anbindung eines HAProxy am Logstash mit Grok
Mein HAProxy in der PFsense kann detaillierte Logs generieren. Die Standarderkennung der PFSense-Integration kann diese aber nicht lesen. Also habe ich mit vor Kurzem einen Logstash installiert. Dieser soll nun die Logs vom HAProxy empfangen. Und Logstash soll diese korrekt parsen. Hier muss ich mir Grok beibringen: eine Filter- und Parsing-Sprache. Ob das gelingt?
Weiterlesen
Elastic SIEM – Installation von Logstash
Standardszenarien kann man mit den Elastic Agents und deren Integrations gut und einfach abbilden. Wenn die Log-Source aber unbekannte Logs liefert, dann kann der Agent damit nichts anfangen und zeigt nur Parsing-Fehler an. Ein Logstash kann als Vermittler zwischen der Log-Source und ElasticSearch dienen. Er nimmt auf seinen Listener-Ports Verbindungen und deren Roh-Logs entgegen und konvertiert sie in das für ElasticSearch verständliche json-Format. Das Parsing der Logs kann dabei gut angepasst werden. Hier zeige ich die Implementierung.
Weiterlesen
Elastic SIEM – Anbindung einer PFSense
Ich nutze als interne und externe Firewall mehrere PFSense-Systeme. Diese sollen ebenfalls an mein Elastic SIEM angeschlossen werden. Ich habe mit dieser Anbindung einige Versuche vor dem Schreiben dieser Anleitung durchgespielt, da mir bis gestern nicht klar war, die die Logdaten der PFSense übermittelt werden sollen. Diese Zeit möchte ich euch sparen und zeigen, wie euch die Integration direkt gelingt.
Weiterlesen
Elastic SIEM – Logdaten auf anderes Volume umziehen
Einleitung Die Daten des Elastic Stacks liegen ungünstig auf einem LVM-Volume, dass beim Setup auf der Hauptplatte meiner VM angelegt wurde. Diese wird nun immer größer und damit ist es schwierig, nur das Betriebssystem zu sichern. Also möchte ich die Daten auf ein neues Volume verschieben. Der Artikel gehört zur
Weiterlesen
Elastic SIEM – Automatische Installation des Agents im Windows
Einleitung Ich möchte meine Windows Server und Clients automatisch an mein Elastic SIEM anschließen. Dafür muss ich den Agent mit einem GPO-ScriptTask installieren und am Fleet-Server registrieren. Den Rest sollte dann der Fleet-Server übernehmen. Der Artikel gehört zur Serie „Bereitstellung eines Elastic SIEM„. Aufbau einer Gruppenrichtlinie Das Setup habe ich
Weiterlesen
Elastic SIEM – Aufbau der Searches
Man kann m Elastic eigene Searches erstellen und speichern, die als Filter nur relevante Logs zu einem Thema anzeigen. In diesem Beitrag zeige ich, wie man Searches erstellt, mit ihnen umgeht und im Falle eines Incident Responses wertvolle Zeit sparen kann.
Weiterlesen