Kategorie: Diverse

Im Quickinstall fehlen die folgenden Funktionen: Query Workbench Observability Anomaly Detection Diese könnt ihr mit den folgenden Befehlen nachinstallieren: Dank an okynos (José Fernández, Automation engineer at Wazuh) aus dem Wazuh Slack Support!

Wenn Wazuh standardmäßig installiert und eingerichtet wurde, bekommt man direkt jede Menge Informationen – damit man nun die Übersicht behält und die wichtigen Ereignisse nicht untergehen, muss man erst mal das „Grundrauschen“ minimieren. Es kommen direkt sehr viele Fehlermeldungen vom Typ 60107 (Fehlgeschlagene Privileg Escalation für Chrome.exe, Slack.exe, MSEdge.exe) – diese Filter ich mit dem…
Weiterlesen

Dieser Artikel dürfte recht lang werden und wird auch nach und nach erweitert. Ein SIEM ist nur so gut, wie es konfiguriert ist – grundsätzlich sammelt WAZUH erst mal alle Informationen, es liegt nun an euch, WAZUH beizubringen wann es euch informiert. Grundeinrichtung 24.06.2022: Als erstes möchte ich Wissen ob im Netzwerk bestimmte Funktionen genutzt…
Weiterlesen

Bei den Netzwerkgeräten Syslog aktivieren auf <IP-WAZUH-SERVER>:514 (UDP). Im Dashboard WAZUH > Mangement > Configuration > Edit Configuration öffnen und folgenden Bereich einfügen: Dann den folgenden Bereich ändern: <logall>yes</logall> <logall_json>yes</logall_json> Dann die Datei /etc/filebeat/filebeat.yml bearbeiten und archives: enabled: false auf true stellen: Alle Dienste durchstarten: Mit den folgenden Befehlen sieht man ob Daten ankommen: Dann…
Weiterlesen

Sicherheit wird immer wichtiger, um eine zentrale Übersicht über das Netzwerk zu haben, bietet es sich an ein SOC (Security Operation Center) einzurichten um alle Meldungen dort zu sammeln und auszuwerten. Damit diese Daten zusammengeführt werden und ausgewertet werden können, bietet sich ein SIEM (Security Information and Event Management). Ein solches Tool ist WAZUH Server,…
Weiterlesen

Sollte Exchange 2016/2019 nicht installieren lassen und bricht immer mit der Meldung ab, das noch ein Neustart aussteht, versuchen sie bitte zuerst einen Neustart auszuführen. Sollte jedoch nach 2-3 Neustarts immer noch der selbe Fehler bestehen, prüfen Sie bitte, welcher Grund vorliegt und verfahren entsprechend vor: PendingBootRequired (Achtung – dies ist die Holzhammermethode und sollte…
Weiterlesen

Wenn das eigene Zertifikat in den Schlüsselbund importiert ist und auch im Outlook eingerichtet ist (unter Konten > Konto auswählen > Sicherheit) könnt ihr dies verwenden. Jedoch in der Standardeinstellung kommt vor dem versenden einer Email immer die Abfrage nach den Anmeldeinformationen des Macs – da der Schlüsselbund diese anfragt. Möchte man dies nicht mehr…
Weiterlesen

Wer sich an die Anleitungen im Internet hält, stolpert ggf. darüber das das veröffentlichen mit der 9.7er Firmware nicht mehr geht (im Live Log sieht man das es Probleme mit den URL Hardening gibt). Hier sind mittlerweile ein paar Anpassungen erforderlich in den Ausnahmen unter den Firewall Profile. Einen sehr guten Artikel habe ich hier…
Weiterlesen

Um den Zustand des Exchangeservers zu erfahren und auch den aktuellen Patchlevel empfiehlt es sich von Microsoft das Healthchecker.ps1 Script zu verwenden. Hier bekommt man zuverlässige Informationen welches Build installiert ist und welches Hotfixes (in manchen Szenarien sind die Informationen aus der Powershell oder der ECP falsch). Jedoch ist es mühselig, in bestimmten Intervallen auf…
Weiterlesen

Um externe Mails besser kenntlich zu machen, kann man unter Exchange eine einfache Transportregel erstellen. Dazu im ECP (Exchange Control Panel oder im Admincenter bei Exchange Online) auf Nachrichtenfluss > Regeln > Neue Regel erstellen: Name: INFO-EXTERNE-EMAILS Diese Regeln anwenden, wenn … > Der Empfänger befindet sich in … > Innerhalb der Organisation > Ok…
Weiterlesen