Microsoft Windows

​

Primeros pasos

1. WEF (Windows Event Forwarding) en los puntos de conexión cuyos registros desee
2. WEC (Windows Event Collector) en un único servidor
3. Winlogbeat: para leer los registros de WEC (p. ej., del registro ForwardedEvents) y enviarlos a Logstash
4. Logstash: para reenviar los registros de Winlogbeat a Wirespeed a través de HTTPS

​

WEF (Windows Event Forwarding)

​

WEC (Windows Event Collection)

​

Winlogbeat

​

Logstash

​

Configurar Windows Event Forwarder

1. Abra Group Policy Management
   1. En un domain controller o estación de trabajo de administración, ejecute gpmc.msc.
2. Cree un nuevo GPO (Group Policy Object)
   1. Haga clic con el botón derecho en la OU donde residan sus servidores (p. ej., Servers OU) → Create a GPO in this domain, and Link it here.
   2. Nombre: Windows Event Forwarding.
   3. Haga clic con el botón derecho en el GPO > Edit.
3. Habilite el servicio WinRM (sin Remote Management)
   1. Computer Configuration > Policies > Windows Settings > Security Settings > System Services.
      1. Establezca Windows Remote Management (WS-Management) en Automatic.
      2. **[OPCIONAL] **Wirespeed recomienda bloquear el tráfico de red WinRM entrante en cualquier punto de conexión Windows donde no sea necesario, ya que habilita una vía de movimiento lateral para los atacantes. Dicho esto, el servidor WEC debe tenerlo habilitado, así que si realiza este cambio, separe su servidor WEC en una OU distinta donde esta configuración de Group Policy no le afecte.
         1. Computer Configuration > Policies > Administrative Templates > Windows Components > Windows Remote Management (WinRM) > WinRM Service.
         2. Establezca en Disabled
4. Defina la dirección del servidor WEC
   1. Computer Configuration > Policies > Administrative Templates > Windows Components > Event Forwarding.
   2. Habilite la configuración e introduzca lo siguiente en el campo Option: Server=http://WEC-Server01.domain.local:5985/wsman/SubscriptionManager/WEC,Refresh=60
   3. Sustituya WEC-Server01.domain.local por el FQDN de su servidor WEC. El puerto 5985 es el estándar para WinRM sobre HTTP. El puerto 5986 es el estándar para WinRM sobre HTTPS, pero requiere una Certificate Authority TLS desplegada internamente de forma adecuada en su entorno Active Directory para que todos los puntos de conexión puedan confiar en los certificados HTTPS. Sin una PKI adecuada, déjelo en 5985 sobre HTTP.
5. Habilite PowerShell Logging y Transcription
   1. Computer Configuration > Policies > Administrative Templates > Windows Components > Windows PowerShell
   2. Habilite Turn on PowerShell Script Block Logging
      1. Marque Log script block invocation start/stop events (4105/4106)
   3. Habilite Turn on Module Logging
      1. Establezca Module Names en *
   4. Habilite Turn on PowerShell Transcription
      1. Transcription Output Directory: Déjelo en blanco (el valor predeterminado es %UserProfile%\Documents\PowerShell_transcripts)
      2. Marque Include invocation headers.
   5. Habilite Turn on PowerShell Remoting Transcription (si está disponible)
      1. Transcription Output Directory: Déjelo en blanco (el valor predeterminado es %UserProfile%\Documents\PowerShell_transcripts)
      2. Marque Include invocation headers.
6. Habilitar Command Line Logging
   1. Computer Configuration > Policies > Administrative Templates > System > Audit Process Creation
   2. Habilite “Include command line in process creation events”
      1. Esto rellena el campo CommandLine en Security Event ID 4688 para todas las creaciones de proceso
7. Definir el registro mínimo
   1. Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > System Audit Policies > Detailed Tracking
      1. Habilite Audit Process Creation
         1. Establezca en Success (Event ID 4688 para la invocación de PowerShell)
   2. Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > System Audit Policies > Account Logon
      1. Habilite Audit Kerberos Authentication Service
         1. Establezca en Success y Failure (Event IDs 4768, 4771)
      2. Habilite Audit Kerberos Service Ticket Operations
         1. Establezca en Success y Failure (Event ID 4769)
      3. Habilite Audit Other Account Logon Events
         1. Establezca en Success y Failure (Event ID 4776)
   3. Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > System Audit Policies > Logon/Logoff
      1. Habilite Audit Logoff
         1. Establezca en Success (Event ID 4634 para la terminación de sesión)
      2. Habilite Audit Other Logon/Logoff Events
         1. Establezca en Success y Failure (Event IDs 4648, 4778, 4779, 4800, 4801)
   4. Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > System Audit Policies
      1. Audit Logon: Habilite Success y Failure para cubrir tipos de inicio de sesión local, interactivo y remoto (p. ej., RDP, red).
      2. Audit Account Lockout: Habilite Success y Failure
      3. Audit Special Logon: Habilite Success (inicios de sesión privilegiados, p. ej., derechos de administrador)
      4. Audit User Account Management: Habilite Success y Failure (creación y cambios de usuario)
      5. Audit Security Group Management: Habilite Success y Failure (creación y cambios de grupo)
      6. Audit Audit Policy Change: Habilite Success y Failure (modificaciones de la directiva de auditoría)
      7. Audit Security System Extension: Habilite Success y Failure (cambios en la configuración de registros)
      8. Privilege Use: [Recomendación] Deshabilitado o solo Failure (Event IDs 4673, 4674)
      9. Process Creation: [Recomendación] Habilitado Success (paso 6, Event ID 4688)
      10. File and Registry Access (Object Access): [Recomendación] Disabled o solo Failure (Event IDs 4656, 4663)
          1. [Opcional] Si es necesario, habilite de forma selectiva mediante SACL en objetos concretos (fuera del alcance)
8. Habilitar Task Scheduler Logging
   1. Computer Configuration > Policies > Administrative Templates > Windows Components > Task Scheduler
   2. Habilite “Turn On logging for task registration”
      1. Esto genera eventos de creación, modificación y ejecución de tareas programadas (Event IDs 106, 200, 201)

​

Configurar Windows Event Collector

1. Identifique un servidor (debe coincidir con el servidor identificado y establecido en la group policy anterior), que debe ejecutar una versión compatible de Windows Server (Server 2016 o posterior).
   Si sigue nuestras recomendaciones anteriores para deshabilitar el tráfico WinRM entrante en los hosts Windows supervisados, asegúrese de que esa configuración NO se aplique al servidor WEC, o WEC no funcionará.
2. Descargue WEC-Setup.ps1 del Github de Wirespeed: https://github.com/WirespeedSecurity/utils/
3. Cree el directorio C:/Program Files/Wirespeed y mueva el script allí. Abra un terminal de PowerShell ejecutándose como administrador en este directorio y ejecute el script con ./WEC-Setup.ps1. Este script:
   1. Habilitará y configurará el servicio Windows Remote Management (WinRM): una dependencia de WEC.
   2. Establecerá el servicio Windows Event Collector (wecsvc) para que se inicie automáticamente e iniciará el servicio de inmediato con wecutil qc.
   3. Añadirá la cuenta NT AUTHORITY\Network Service al grupo local Event Log Readers para garantizar los permisos adecuados para la recopilación de eventos.
   4. Creará reglas de firewall para permitir el tráfico entrante en los puertos 5985 (WinRM sobre HTTP) y 5986 (WinRM sobre HTTPS) para la comunicación WEF.
   5. Configurará el servidor WEC para reenviar sus propios eventos de Windows a sí mismo (localhost) a través de HTTP en el puerto 5985, habilitando la auto-supervisión al establecer la clave del registro HKLM:\SOFTWARE\Policies\Microsoft\Windows\EventLog\EventForwarding\SubscriptionManager.
   6. Creará una suscripción WEC iniciada por el origen denominada “Security and PowerShell Events” para recopilar eventos de los registros Security, Microsoft-Windows-PowerShell/Operational, Windows PowerShell, System y Application, usando HTTP y almacenando los eventos en el registro ForwardedEvents.
4. Para validar la configuración:
   1. Compruebe el registro ForwardedEvents en Event Viewer (eventvwr.msc) del servidor WEC para confirmar que se recopilan eventos de los sistemas de origen (y del propio servidor WEC).
   2. Revise el registro de configuración en C:\Program Files\Wirespeed\collector.log por si hay errores o confirmación de pasos de configuración correctos.
   3. Genere un evento de prueba en un sistema de origen (p. ej., eventcreate /Id 500 /D "Test event" /T ERROR /L System) y verifique que aparece en el registro ForwardedEvents del servidor WEC.
      Todas las acciones y errores del script se registran en un archivo de registro en C:\Program Files\Wirespeed\collector.log para cualquier validación o depuración adicional que se requiera.

​

Configurar el reenvío de registros

​

Instalar y configurar Winlogbeat

1. Descargar e instalar Winlogbeat
   1. Descargue el archivo zip de la página de descargas
   2. Extraiga el contenido en C:\Program Files
   3. Cambie el nombre del directorio winlogbeat-<version> a Winlogbeat
   4. Abra un símbolo del sistema de PowerShell como administrador (haga clic con el botón derecho en el icono de PowerShell y seleccione Run As Administrator)
   5. Desde el símbolo del sistema de PowerShell, ejecute los siguientes comandos para instalar el servicio
      1. cd 'C:\Program Files\Winlogbeat'
      2. .\install-service-winlogbeat.ps1

1. Configurar Winlogbeat
   1. En winlogbeat.yml, sustituya el contenido existente por las configuraciones siguientes:
   winlogbeat.event_logs:
     - name: Security
       ignore_older: 72h
     - name: System
       ignore_older: 72h
     - name: Application
       ignore_older: 72h
     - name: Microsoft-Windows-PowerShell/Operational
       ignore_older: 72h
     - name: ForwardedEvents
       ignore_older: 72h
   output.logstash:
     hosts: ["localhost:5044"]
     ssl.enabled: false
     codec.json:
       pretty: false
   

​

Instalar y configurar Logstash

1. Descargar e instalar Logstash
   1. Descargue el archivo zip de la página de descargas
   2. Extraiga el contenido en C:\Program Files
   3. Cambie el nombre del directorio logstash-<version> a Logstash
   4. Vaya al directorio C:\Program Files\Logstash\config\
2. Configurar Logstash
   1. Abra Detalles del reenviador de su integración Windows Event Logs y copie el dominio HTTPS y el puerto de escucha
   2. Edite logstash.conf para recopilar eventos de Winlogbeat y enviarlos a Wirespeed:
      1. Sustituya el contenido del logstash.conf existente por el contenido siguiente (o créelo si no existe):
         input { 
           beats { 
             port => 5044 
             ssl_enabled => false
           } 
         }
         filter { 
           # Fix the field reference - use winlog.event_id for Windows events
           if [winlog][event_id] { 
             mutate { 
               add_field => { "event_id" => "%{[winlog][event_id]}" } 
             } 
           }
           # Alternative field paths depending on your beat version
           if [event][code] { 
             mutate { 
               add_field => { "event_id" => "%{[event][code]}" } 
             } 
           }
         }
         output {
           http {
             url => "https://<WIRESPEED_DOMAIN>:<WIRESPEED_PORT>"
             http_method => "post"
             codec => "json"
           }
         }
         
      2. Sustituya <WIRESPEED_DOMAIN> y <WIRESPEED_PORT> por los valores de Detalles del reenviador
   3. Edite logstash.yml para reconocer la nueva configuración de forma predeterminada
      1. Añada las líneas siguientes al archivo, guárdelo y ciérrelo:
         config.reload.automatic: true  # Automatically reload config if logstash.conf changes
         path.config: "C:\\Program Files\\Logstash\\config\\logstash.conf"  # Sets the default config file
         
         Esta es una configuración muy básica. Se recomienda conocer más opciones de configuración de Logstash y adaptar lo anterior a sus necesidades específicas. Consulte la documentación oficial de Elastic para todas las opciones de configuración disponibles.
   4. Instalar Logstash como servicio
      Se recomienda ejecutar Logstash manualmente para asegurarse de que la configuración es válida antes de ejecutarlo como servicio. Consulte más información aquí: Running Logstash Manually
      Recomendado: Lea más sobre esta configuración aquí: Running Logstash as a service with NSSM
      1. Descargar e instalar NSSM
         1. https://nssm.cc/download y extraiga nssm.exe de nssm-<version.number>\win64\nssm.exe a Logstash\bin\
      2. Use NSSM para crear el servicio Logstash
         1. Abra un terminal de PowerShell como administrador y ejecute el siguiente comando para instalar Logstash como servicio:
            1. cd "C:\Program Files\Logstash\bin"
            2. .\nssm.exe install logstash
         2. Cuando aparezca la ventana NSSM service installer, especifique los siguientes parámetros en la pestaña Application:
            1. Path: C:\Program Files\Logstash\bin\logstash.bat
            2. Startup Directory: C:\Program Files\Logstash\bin
         3. Haga clic en Install Service y, a continuación, en Ok
   5. Iniciar Logstash y WinLogbeat:
      1. Start-Service logstash
      2. Start-Service winlogbeat
      3. Verifique que los servicios se están ejecutando con
         1. Get-Service Logstash
         2. Get-Service winlogbeat
   6. Póngase en contacto con un ingeniero de Wirespeed a través del chat de la plataforma o enviando un correo a support@wirespeed.co para asegurarse de que los registros fluyen como se espera