Aktionen

Zabbix:Template Windows Anmelde Fehlversuche

Aus znilwiki

Changelog:

  • 18.02.2021 erste Version

1 Vorwort

Die Aufgabenstellung war es, alle Login-Fehlversuche unter Windows zu erfassen.
Bei 3 Fehlversuchen innerhalb von 15 Minuten soll ein Trigger auslösen.

Das hier beschriebene Template macht folgendes:

  • Per PowerShell werden alle 10 Minuten die Login-Fehlversuche der letzten 15 Minuten abgefragt
  • Zusätzlich werden alle 10 Minuten alle Login-Fehlversuche aus dem Eventlog von Windows abgefragt
  • Es löst ein Trigger aus wenn es
    • Mehr als 3 Fehlversuche gab
    • und entsprechende Meldungen aus dem Eventlog abgefragt werden konnten (wir haben einen .last Wert!)
    • Der Trigger hat keine OK event generation sondern muss immer manuell geschlossen werden


Das ganze hat folgende Lücken/Schwächen:

  • Die Erfassung der Fehlversuche ist global pro Host. Wenn also 4 verschiedene Benutzer innerhalb von 15 Minuten alle einmal das Passwort falsch eingeben löst der Trigger auch aus
  • In einer Meldung kann der letzte Eventlog-Eintrag mit gesendet werden (ist in Description hinterlegt). Der Wert muss aber nicht der richtige sein. Es werden aber alle Ereignisse geloggt und können über Latest data eingesehen werden.



2 UserParameter

Der Zabbix-Agent muss mittels folgenden UserParameter in seiner Konfigurationsdatei erweitert werden:

# Check Login Failures
UserParameter=CheckLoginFailures[*],powershell "$TimeShift = (Get-Date).AddMinutes(-$1); (Get-WinEvent @{LogName='Security';ProviderName='Microsoft-Windows-Security-Auditing';ID=4625; StartTime=$TimeShift } -erroraction 'silentlycontinue' | measure).count"

Nach dem Eintrag muss der Agent einmal neu gestartet werden.

Testen lässt sich das im Anschluss per CMD-Aufruf:

zabbix_agentd.exe -c zabbix_agentd.win.conf -t CheckLoginFailures[15]
ClipCapIt-210218-160248.PNG



3 Template

Download: Znil_Template_Windows_Login_Failures_Zabbix5.0.zip
Ent-Zippen, Importieren und dann dem Host zuweisen.


4 Screenshots

ClipCapIt-210218-161130.PNG
ClipCapIt-210218-161444.PNG


ClipCapIt-210218-161004.PNG


ClipCapIt-210218-161043.PNG



5 Kommentare

Kommentar hinzufügen
znilwiki freut sich über alle Kommentare. Sofern du nicht anonym bleiben möchtest, trage deinen Namen oder deine Email-Adresse ein oder melde dich an. Du kannst das Feld auch einfach leer lassen. Bei einem Kommentar wird deine IP-Adresse zusammen mit dem Text, den angegebenen Namen bzw. der Email-Adresse in der Datenbank für die Kommentare dauerhaft gespeichert. Genaueres kannst du hier nachlesen: Datenschutzerklärung

______________________________________________________

Bitte beachte das der eingetragene Name oder die Email-Adresse für jeden sichtbar ist!