Active Directoryのセキュリティログ監視をZabbixで実現する

Active Directoryへの攻撃対策の監査ログの設定と監視をしてみる

Zabbixを介さずにサーバ単体で監視する場合には以下
https://note.com/nerone1024/n/n12d8483a7963?app_launch=false

監査ログの設定

グループポリシーでログを残すように設定する。

コンピュータの構成 - Windowsの設定 - セキュリティの設定 - ローカルポリシー - 監査ポリシー を開く。
以下の項目について成功、失敗の残すように設定する

• アカウント ログオン イベントの監査

• アカウント管理の監査

• オブジェクト アクセスの監査

• ログオン イベントの監査

• 特権使用の監査

Zabbix側の設定

上記を設定したうち「アカウント管理の監査」を例にして設定してみる。

管理画面からアイテムを作成する

管理画面にログオンし、管理データ→ホストを開き、ADサーバをクリックする。※プライマリ/セカンダリ両方行う。

ホストに記載のある「アイテム」を開く

画面右上の「アイテムの作成」をクリックする

以下の画像のように設定して作成する。

名前：任意
タイプ：Zabbixエージェント(アクティブ)
キー：eventlog[Security,,,,"4720|4722|4723|4725|4726",,]
※セキュリティログの以下のイベントIDを検知するようにした。
　4720　アカウント作成
　4722　アカウント有効化
　4723　パスワード変更
　4725　アカウント無効化
　4726　アカウント削除
データ型：ログ
ヒストリ：7d※仮で設定

なお、キーについては以下も追加してよいとは思う
　4729　グローバルセキュリティグループに追加
　4729　グローバルセキュリティグループから削除
　4732　ローカルセキュリティグループに追加
　4733　ローカルセキュリティグループから削除
　4756　ユニバーサルセキュリティグループに追加
　4757　ユニバーサルセキュリティグループから削除

トリガーを作成する

画面上部の「トリガー」→「トリガーの作成」をクリックする

以下の画像のように設定する

名前：任意
深刻度：任意
条件式：logeventid(/ServerName/eventlog[Security,,,,"4720|4722|4723|4725|4726",,])=1
下記のようにアイテム、関数、結果を設定した。

障害イベント生成モード：複数
手動クローズの許可：レ

メールで届くことを確認してみる

予めテストで作成していたユーザを無効化してみたところ以下のエラーメールが到着した。

おわり

今回はZabbixでSecurityログの検知をしてみた。セキュリティログだけでなく、別のログに対しても似た方法で取得できるのでお試しあれ。

その他のzabbixの記事は以下を参照ください。

また、ADについては以下