Zabbix:Template Windows Anmelde Fehlversuche: Unterschied zwischen den Versionen
Aus znilwiki
BLinz (Diskussion | Beiträge) (Die Seite wurde neu angelegt: „<u>'''Changelog:'''</u><br> * 18.02.2021 erste Version ---- ==Vorwort== Die Aufgabenstellung war es, alle Login-Fehlversuche unter Windows zu erfassen.<br> Bei…“) |
BLinz (Diskussion | Beiträge) K (→Screenshots) |
||
| (2 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
| Zeile 31: | Zeile 31: | ||
---- | ---- | ||
==Template== | ==Template== | ||
'''<big>Download: [[ | '''<big>Download: [[Media:Znil_Template_Windows_Login_Failures_Zabbix5.0.zip|Znil_Template_Windows_Login_Failures_Zabbix5.0.zip]]</big>'''<br> | ||
Ent-Zippen, Importieren und dann dem Host zuweisen.<br> | |||
<br> | <br> | ||
---- | ---- | ||
==Screenshots== | ==Screenshots== | ||
:[[Datei:ClipCapIt-210218-161130.PNG]]<br> | :[[Datei:ClipCapIt-210218-161130.PNG]]<br> | ||
:[[Datei:ClipCapIt-210218-161444.PNG]]<br> | |||
<br> | <br> | ||
:[[Datei:ClipCapIt-210218-161004.PNG]]<br> | :[[Datei:ClipCapIt-210218-161004.PNG]]<br> | ||
| Zeile 43: | Zeile 45: | ||
<br> | <br> | ||
---- | ---- | ||
==Kommentare== | ==Kommentare== | ||
<comments /> | <comments /> | ||
Aktuelle Version vom 18. Februar 2021, 16:15 Uhr
Changelog:
- 18.02.2021 erste Version
Vorwort
Die Aufgabenstellung war es, alle Login-Fehlversuche unter Windows zu erfassen.
Bei 3 Fehlversuchen innerhalb von 15 Minuten soll ein Trigger auslösen.
Das hier beschriebene Template macht folgendes:
- Per PowerShell werden alle 10 Minuten die Login-Fehlversuche der letzten 15 Minuten abgefragt
- Zusätzlich werden alle 10 Minuten alle Login-Fehlversuche aus dem Eventlog von Windows abgefragt
- Es löst ein Trigger aus wenn es
- Mehr als 3 Fehlversuche gab
- und entsprechende Meldungen aus dem Eventlog abgefragt werden konnten (wir haben einen .last Wert!)
- Der Trigger hat keine OK event generation sondern muss immer manuell geschlossen werden
Das ganze hat folgende Lücken/Schwächen:
- Die Erfassung der Fehlversuche ist global pro Host. Wenn also 4 verschiedene Benutzer innerhalb von 15 Minuten alle einmal das Passwort falsch eingeben löst der Trigger auch aus
- In einer Meldung kann der letzte Eventlog-Eintrag mit gesendet werden (ist in Description hinterlegt). Der Wert muss aber nicht der richtige sein. Es werden aber alle Ereignisse geloggt und können über Latest data eingesehen werden.
UserParameter
Der Zabbix-Agent muss mittels folgenden UserParameter in seiner Konfigurationsdatei erweitert werden:
# Check Login Failures
UserParameter=CheckLoginFailures[*],powershell "$TimeShift = (Get-Date).AddMinutes(-$1); (Get-WinEvent @{LogName='Security';ProviderName='Microsoft-Windows-Security-Auditing';ID=4625; StartTime=$TimeShift } -erroraction 'silentlycontinue' | measure).count"
Nach dem Eintrag muss der Agent einmal neu gestartet werden.
Testen lässt sich das im Anschluss per CMD-Aufruf:
zabbix_agentd.exe -c zabbix_agentd.win.conf -t CheckLoginFailures[15]
Template
Download: Znil_Template_Windows_Login_Failures_Zabbix5.0.zip
Ent-Zippen, Importieren und dann dem Host zuweisen.
Screenshots
Kommentare
Loading comments...