Filtrare i log di Windows usando XPath


Come potete filtrate l'Event Viewer di Windows?

Oltre al classico filtro dell'interfaccia grafica potete anche usare Query XPath.

Supponiamo che vogliate farvi inviare via mail un alert quando qualcuno cerca di autenticarsi nel vostro dominio Active Directory usando l'encryption type AES-256.

Per prima cosa dovete cercare l'Event ID corrispondente all'evento che volete monitorare. In questo esempio è l'Event ID 4768.

A questo punto create un Task Schedulato e come Trigger mettete un filtro sull'Event Viewer con la seguete Query XPath

La Query sovrastante cerca tutte le autenticazioni che utilizzano l'encryption AES-256 perchè il valore del TicketEncryptionType è 0x12

Come fate a saperlo?

C'è questa tabella, presa da Technet, che lo spiega

In questo modo il Task Scheduler vi invierà una mail (impostata nel Tab Action) ogni volta che il Domain Controller segnala nel Security Log un Evento 4768 con autenticazione AES-256.

Come dovete fare quindi se volete monitorare le autenticazioni DES?

A voi l'esercizio?

Ciao e Buon Lavoro!


© 2017-2020 by Christian Bontempi - Dynamic Video Training  & ICT Consultant - Italia - Privacy Policy - Cookies Policy - info@christianbontempi.com

Tutti i marchi appartengono ai loro legittimi proprietari. Tutti i diritti riservati. P.IVA 02008940385

  • LinkedIn Social Icon
  • Vimeo Social Icon
  • Facebook Social Icon