Quelltext der Seite Zabbix:Template Windows Anmelde Fehlversuche

<u>'''Changelog:'''</u><br>
* 18.02.2021 erste Version
----
==Vorwort==
Die Aufgabenstellung war es, alle Login-Fehlversuche unter Windows zu erfassen.<br>
Bei 3 Fehlversuchen innerhalb von 15 Minuten soll ein Trigger auslösen.<br>
<br>
Das hier beschriebene Template macht folgendes:<br>
* Per PowerShell werden alle 10 Minuten die Login-Fehlversuche der letzten 15 Minuten abgefragt
* Zusätzlich werden alle 10 Minuten alle Login-Fehlversuche aus dem Eventlog von Windows abgefragt
* Es löst ein Trigger aus wenn es
** Mehr als 3 Fehlversuche gab
** und entsprechende Meldungen aus dem Eventlog abgefragt werden konnten (wir haben einen .last Wert!)
** Der Trigger hat keine '''''OK event generation''''' sondern muss immer manuell geschlossen werden
<br>
Das ganze hat folgende Lücken/Schwächen:<br>
* Die Erfassung der Fehlversuche ist global pro Host. Wenn also 4 verschiedene Benutzer innerhalb von 15 Minuten alle einmal das Passwort falsch eingeben löst der Trigger auch aus
* In einer Meldung kann der letzte Eventlog-Eintrag mit gesendet werden (ist in Description hinterlegt). Der Wert muss aber nicht der richtige sein. Es werden aber alle Ereignisse geloggt und können über '''''Latest data''''' eingesehen werden.<br>
<br>
----
==UserParameter==
Der Zabbix-Agent muss mittels folgenden '''UserParameter''' in seiner Konfigurationsdatei erweitert werden:<br>
 # Check Login Failures
 UserParameter=CheckLoginFailures[*],powershell "$TimeShift = (Get-Date).AddMinutes(-$1); (Get-WinEvent @{LogName='Security';ProviderName='Microsoft-Windows-Security-Auditing';ID=4625; StartTime=$TimeShift } -erroraction 'silentlycontinue' | measure).count"
Nach dem Eintrag muss der Agent einmal neu gestartet werden.<br>
<br>
Testen lässt sich das im Anschluss per CMD-Aufruf:<br>
 zabbix_agentd.exe -c zabbix_agentd.win.conf -t CheckLoginFailures[15]
:[[Datei:ClipCapIt-210218-160248.PNG]]<br>
<br>
----
==Template==
'''<big>Download: [[Media:Znil_Template_Windows_Login_Failures_Zabbix5.0.zip|Znil_Template_Windows_Login_Failures_Zabbix5.0.zip]]</big>'''<br>
Ent-Zippen, Importieren und dann dem Host zuweisen.<br>
<br>
----

==Screenshots==
:[[Datei:ClipCapIt-210218-161130.PNG]]<br>
:[[Datei:ClipCapIt-210218-161444.PNG]]<br>
<br>
:[[Datei:ClipCapIt-210218-161004.PNG]]<br>
<br>
:[[Datei:ClipCapIt-210218-161043.PNG]]<br>
<br>
----

==Kommentare==
<comments />