पॉवर्सशेल परिवर्तन अलर्ट के साथ सक्रिय निर्देशिका का ऑडिट करता है। भाग २

पिछले लेख में, मैंने अपनी पहली पोस्ट हब पर प्रकाशित की थी विषय की निरंतरता में मैं दूसरा भाग लिखने जा रहा था।

पहले भाग के लिए टिप्पणियों में, मैंने लापरवाही से उल्लेख किया कि मैंने सर्वरों के कनेक्शन के लिए स्क्रिप्ट की निगरानी की कार्यक्षमता का विस्तार किया था। विशेष रूप से, उन्होंने इंस्टेंट मैसेजिंग सर्विस XMPP (Jabber) में नोटिफिकेशन जोड़ा, साथ ही लॉग को एक अलग टेक्स्ट फ़ाइल में लिखा।

तुरंत अलर्ट।

तत्काल अलर्ट के बारे में अच्छी बात यह है कि नए संदेशों के लिए लगातार मेल की जांच करने की आवश्यकता नहीं है - संदेश आते हैं और आपको तुरंत पता चल जाता है (ग्राहक की सेटिंग के आधार पर, निश्चित रूप से)।
अपने लिए, मैंने सभी खिड़कियों के ऊपर खुले संदेश बनाए। बेशक, खुद को स्पैम न करने के लिए, ऐसे अलर्ट महत्वपूर्ण घटनाओं को भेजे जाते हैं।
महत्वपूर्ण लोगों के लिए, मैंने जिम्मेदार ठहराया: डोमेन नियंत्रकों के लिए असफल लॉगिन प्रयास, वीपीएन सेवा के लिए असफल लॉगिन प्रयास (वाइंड पर पीपीटीपी)। इस फ़ंक्शन को AD मॉनिटरिंग स्क्रिप्ट में भी जोड़ा। क्योंकि मेरे पास कई लोग हैं जिनके पास AD तक पहुंच है, तो समय के साथ आप प्रासंगिक डेटा का धागा खो सकते हैं (कुछ, एक बार, किसी को हटा दिया गया / जोड़ा / जोड़ा गया, और आप नहीं जानते)। और ये संदेश वास्तविक समय में होने वाले बदलावों के बारे में जानने के लिए होंगे।

समाधान के लिए खोजें

जब मैं इस तरह की अधिसूचना के विचार के साथ आया था (इस तथ्य को देखते हुए कि हमारा संगठन जब्बार सेवा का सक्रिय रूप से उपयोग करता है), तो सबसे पहले मैंने गूगल पर पॉवर्सशेल जैबर को हथौड़ा किया था। मेरी पहली कड़ी ने मुझे Microsoft Technet Xaerg की साइट पर भेजा , जो कि खुले स्थानों में अज्ञात नहीं है। यह तथ्य कि मैंने वहां देखा था, लेकिन कृपया मुझे नहीं दे सकते हैं: "क्या आप जानते हैं कि NetCmdlets स्नैप-इन, जिसमें बड़ी संख्या में नेटवर्क प्रोटोकॉल के साथ काम करने के लिए cmdlets शामिल हैं, गैर-व्यावसायिक उपयोग के लिए पूरी तरह से स्वतंत्र है?"
और उपलब्ध आदेशों की एक सूची प्रदान की जाती है। "यह वही है जो मुझे चाहिए, और यहां तक ​​कि नि: शुल्क !!!" मैंने सोचा और परेशान था जब मैं इस cmdlet स्नैप-इन के लिए डेवलपर की साइट पर गया, तो यह पता चला कि उनके पास मुफ़्त संस्करण नहीं है, उनके पास केवल 1 महीने के लिए परीक्षण संस्करण है, जिसके बाद आपको फिर से एक कुंजी का अनुरोध करने की आवश्यकता है। उसके बाद ही मैंने लेख की तारीख पर ध्यान आकर्षित किया, यह 2008 में बदल गया - थोड़ा पुराना :(।
प्रयोग के लिए मैंने परीक्षण संस्करण डाउनलोड किया। उस सर्वर पर इंस्टॉल किया गया है जिस पर मैं अलर्ट का उपयोग करना चाहता हूं। स्थापना एक धमाके के साथ हुई। नए cmdlets तुरंत उपलब्ध हो गए। उनका सिंटैक्स काफी सरल है और संदेश भेजने में कोई समस्या नहीं थी। थोड़ी देर के लिए, मैंने इस परीक्षण लाइसेंस का उपयोग महीने में एक बार इसे फिर से पंजीकृत करके किया। लेकिन परीक्षण संस्करण का उपयोग करने वाली बहुत ही भावना ने मुझे उदास कर दिया, यहां तक ​​कि इस तथ्य को और भी उदास कर दिया कि प्रत्येक सर्वर के लिए हर महीने इसे पंजीकृत करना आवश्यक है जहां यह स्थापित है। और चूंकि उस समय बुनियादी ढांचे में 30 से कम सर्वर थे, यहां तक ​​कि सभी सर्वरों पर महीने में कम से कम एक बार फिर से पंजीकरण करने के बारे में सोचा।
जब यह समय के साथ अधिक मुक्त हो गया, तो मैंने इस विचार को खत्म करने का फैसला किया। क्या आवश्यक था एक उपकरण जो XMPP प्रोटोकॉल का उपयोग करके संदेश भेजने के लिए Powershell को सक्षम करता है। इस मामले में, इस उत्पाद का उपयोग करने के लिए शर्तें एक महत्वपूर्ण कारक होनी चाहिए - यह मुफ़्त होनी चाहिए।

मैंने फिर से Google को सताना शुरू कर दिया। और मेरे प्रयास व्यर्थ नहीं गए। एक ठीक क्लिक में, मुझे एक उपयोगिता के साथ एक पृष्ठ मिला जो आपको XMPP प्रोटोकॉल का उपयोग करके PS कंसोल से संदेश भेजने की अनुमति देता है।
मैं विशेष रूप से पेज शीर्षक में शिलालेख से प्रसन्न था: ओपन सोर्स सॉफ्टवेयर के लिए प्रोजेक्ट होस्टिंग। मुझे क्या लगता है कि इस उत्पाद का उपयोग करने के लिए स्वतंत्र है बस मुझे क्या चाहिए।

ई-मेल, Jabber सेवा द्वारा अधिसूचना और लॉग फ़ाइल में लिखने के साथ, सर्वर में प्रवेश करने के असफल प्रयासों की ऑडिट।

#    WIndowsEventLog       ,      Body $HostName = HostName $Body=Get-WinEvent -FilterHashtable @{LogName="Security";ID=4625} | Select TimeCreated,@{n="User";e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq "TargetUserName"} | %{$_.'#text'}}},@{n="ComputerName";e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq "WorkstationName"}| %{$_.'#text'}}},@{n="IPAddress";e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq "IPAddress"}| %{$_.'#text'}}} | select-object -first 1 #$BodyL -      - $BodyL = "`n"+$Body.TimeCreated +"`t"+ $Body.User +"`t"+ $Body.ComputerName +"`t"+ $Body.IPAddress #$Body -           Jabber $Body = "`n: "+$Body.TimeCreated +"`n : "+ $Body.User +"`n-: "+ $Body.ComputerName +"`nIP : "+ $Body.IPAddress #$Theme -  . $Hostname -   $Theme = "     "+$hostname # Jabber- Add-PSSnapin poshxmpp new-client -JabberId AUDIT@domain.ru -Password PASSWORD Send-Message admin@domain.ru "$Theme $Body" $PoshXmppClient.Close() #    e-mail    $Subject = "     "+$hostname $Server = "mail.domain.ru" # SMTP  $From = "audit@domain.ru" #   $To = "admin@domain.ru" #  $pass = ConvertTo-SecureString "PASSWORD" -AsPlainText -Force $cred = New-Object System.Management.Automation.PSCredential("AUDIT" , $pass) $encoding = [System.Text.Encoding]::UTF8 # e-mail Send-MailMessage -From $From -To $To -SmtpServer $server -Body "$Theme `n$Body" -Subject $Subject -Credential $cred -Encoding $encoding #    - FaildConnect.txt $BodyL | out-file "\ServerNameServerLogFilesServerFaildConnect.txt" -append 

जैसा कि मैंने पहले भाग में लिखा था, स्क्रिप्ट को स्वचालित रूप से निष्पादित करने के लिए, इसे कार्य शेड्यूलर में रखना आवश्यक है और इस स्क्रिप्ट के लॉन्च को कॉन्फ़िगर करना आवश्यक है जब यह इवनग्लग में सुरक्षा लॉग में आईडी = 4625 के साथ किसी घटना का पता लगाता है।

सिफ़ारिश।

यह ऐसी स्क्रिप्ट है जो मेरे लिए वीपीएन सर्वर और सभी डोमेन नियंत्रकों पर काम करती है।
अब मुझे हमेशा पता है कि वीपीएन कब और कौन जोड़ता है, उदाहरण के लिए। या जब कोई सर्वर तक पहुंचने के लिए पासवर्ड लेने की कोशिश करता है।
मैं उन सेवाओं पर ऐसी स्क्रिप्ट लटकाने की भी सलाह देता हूं जो इंटरनेट पर "जलाई जाती हैं", उदाहरण के लिए, टर्मिनल एक्सेस सेवाएं।
एक अलग फ़ाइल में एक रिकॉर्ड आपको भविष्य में, कनेक्शन का विश्लेषण करने की अनुमति देगा। वैसे, लॉग को एक स्प्रेडशीट संपादक (एमएस एक्सेल या ओओ कैल्क) के माध्यम से खोला जा सकता है और पहले से लॉग के साथ तालिका (सॉर्ट, फ़िल्टर, आदि) के रूप में काम कर सकता है।