Verfolgen Sie die physische Anwesenheit mit dem Windows-Sicherheitsprotokoll

Wie findet man heraus, wann jemand tatsächlich an seinem PC angemeldet war? Mit „angemeldet“ meine ich, physisch anwesend zu sein und mit seinem Computer zu interagieren. Die Daten sind im Sicherheitsprotokoll enthalten, aber es ist viel schwieriger, als man denkt.

Erstens habe ich zwar gesagt, dass es im Sicherheitsprotokoll steht, aber nicht gesagt, welches. Die schlechte Nachricht ist, dass es nicht im Protokoll des Domänencontrollers enthalten ist. Domänencontroller wissen, wann Sie sich anmelden, aber nicht, wann Sie sich abmelden. Dies liegt daran, dass Domänencontroller lediglich die Erstauthentifizierung bei der Domäne und die nachfolgenden Authentifizierungen bei jedem Computer im Netzwerk durchführen. Diese werden als Kerberos-Ereignisse für Ticket-Granting-Tickets bzw. Service-Tickets widergespiegelt. Aber Domänencontroller werden nicht kontaktiert und wissen überhaupt nicht, wann Sie sich abmelden. Schauen Sie sich tatsächlich die Ereignisse in der Unterkategorie „Kontoanmeldungs-Überwachungsrichtlinie“ an. Dies sind die wichtigsten Domänencontrollerereignisse, die generiert werden, wenn sich ein Benutzer mit einem Domänenkonto anmeldet. Wie Sie sehen, gibt es kein Abmeldeereignis. Dieses Ereignis wurde nur von der Unterkategorie „Abmelden“ protokolliert.

Und tatsächlich ist das gesamte Konzept einer diskreten Sitzung mit An- und Abmeldung verschwunden. Möglicherweise bleiben Sie tagelang, wenn nicht sogar wochenlang an Ihrem PC „angemeldet“. Die eigentliche Frage lautet also nicht: „War Bob angemeldet?“ „Es geht vielmehr darum: „War Bob physisch anwesend und hat mit dem PC interagiert?“ „Um diese Frage zu beantworten, müssen Sie viel mehr als nur einfache An-/Abmeldeereignisse betrachten, die durch lange Zeiträume voneinander getrennt sein können, in denen Bob sich irgendwo anders als an seinem Computer befindet.

Für die Überwachung der physischen Anwesenheit müssen alle Ereignisse zwischen der Anmeldung und der Abmeldung betrachtet werden, z. B. wenn die Konsole gesperrt wird, der Computer in den Ruhezustand wechselt und Bildschirmschonerereignisse auftreten.

Die Überwachung von Anmeldesitzungen ist nicht nur eine seltsame technische Herausforderung. Auf jeder Messe und Konferenz, die ich besuche, kommen Menschen mit unterschiedlichen Sicherheits- und Compliance-Anforderungen zu mir, wenn sie diese Fähigkeit benötigen. Tatsächlich drehte sich einer der Fälle, in denen ich als Sachverständiger konsultiert wurde, um die Interpretation von Anmeldeereignissen für die Sitzungsüberwachung.

Die absolut einzige Möglichkeit, tatsächliche Anmeldesitzungen zu verfolgen, besteht darin, das Sicherheitsprotokoll der Workstation einzusehen. Dort müssen Sie drei Audit-Unterkategorien aktivieren:

1. Einloggen
2. Abmelden
3. Andere Anmeldung/Abmeldung

Zusammen protokollieren diese 3 Kategorien 9 verschiedene Ereignisse, die für unser Thema relevant sind:

• 4624 - Ein Konto wurde erfolgreich angemeldet
• 4634 - Ein Konto wurde abgemeldet
• 4647 - Vom Benutzer initiierte Abmeldung
• 4800 - Die Workstation wurde gesperrt
• 4801 - Die Workstation wurde entsperrt
• 4802 - Der Bildschirmschoner wurde aufgerufen
• 4803 - Der Bildschirmschoner wurde geschlossen

Aber wie korrelieren Sie diese Ereignisse? Denn genau darum geht es, wenn es darum geht, Anmeldesitzungen herauszufinden. Es ist keineswegs ein Kinderspiel. Das Zuordnen dieser Ereignisse ähnelt der Sequenzierung der DNA, aber die Informationen sind vorhanden. Am besten experimentieren Sie selbst. Aktivieren Sie die drei oben genannten Überwachungsrichtlinien, melden Sie sich dann an, warten Sie, bis Ihr Bildschirmschoner aktiviert wird, schließen Sie den Bildschirmschoner, sperren Sie die Konsole, als würden Sie weggehen, und entsperren Sie sie dann. Lassen Sie den Computer schlafen. Wecken Sie es wieder auf.

Wie Sie sehen können, gibt es einige Überschneidungen zwischen den oben genannten Ereignissen. Was Sie tun müssen, ist - zwischen einem bestimmten Anmelde-/Abmeldeereignispaar (verknüpft durch die Anmelde-ID) - die Zeiträume innerhalb dieser Sitzung zu identifizieren, in denen der Benutzer aus folgenden Gründen nicht anwesend war:

• Schlaf (der des Computers)
• Winterschlaf
• Bildschirmschoner
• Konsole gesperrt

Und zählen Sie jede Sitzung als beendet, wenn Sie Folgendes sehen:

• Ereignis-ID 4647 für die Anmelde-ID dieser Sitzung (vom Benutzer initiierte Abmeldung)
• Ereignis-ID 4354 für die Anmelde-ID (Abmeldung) dieser Sitzung
• Ereignis-ID 4608 - Systemstart

Wie Sie sehen, sind die Informationen vorhanden. Aber man muss es sammeln, und das ist für die meisten Organisationen aufgrund der schieren Anzahl an Arbeitsplätzen eine Herausforderung. SIEM-Lösungen wie EventTracker automatisieren dies für Sie, sei es durch Remote-Ereigniserfassung, was in manchen Fällen praktisch sein kann, oder mit dem praktikableren Endpunkt-Agenten.