Musíte vědět, kdo přistoupil k objektu, který objekt byl přístupný, kdy byl objekt přístupný a jaké hodnoty jsou změněné. Toto jsou některé události, které mají být sledovány na souborových serverech:

• přístupy souborů

• tvorba souborů

• pohyby souborů

• smazání souborů

• přejmenování souborů

• úpravy souborů

• změny oprávnění souboru

• změny SACL

Nezapomeňte, že při kontrole těchto událostí, je třeba sledovat i úspěšné a neúspěšné pokusy. Doporučujeme také vytváření detailních zpráv založené na konkrétní uživatele a procesy tak, že získáte pohled do hloubky na aktivitu souborového serveru. Můžete také nastavit upozornění na ukazateli kompromisu (IOCs), jako je výskyt několika modifikacích souborů v krátkém časovém období, což by mohlo naznačovat Ransomware aktivitu ve vašem prostředí.

Když přejdeme k databázím, je třeba sledovat:

• události DML, jako jsou výběry a aktualizace provedené v tabulkách.

• události DDL, jako je vytvoření, pád nebo změna databází, tabulek a procedur.

• Aktivity serveru jako je například start a vypnutí.

• Aktivity uživatelských účetů, včetně vytváření a modifikace uživatelů a rolí.

Pokročilejší SIEM řešení může jít ještě o krok dále a korelovat aktivitu v souborových serverů, databází a jiné části sítě pro detekci komplikovanějších vzorů útoků. Mohou také detekovat anomálie pomocí strojového učení, což je funkce známá jako UBA (analytika chování uživatelů).

Zajímejte se o populární řešení z dílny ManageEngine, které pokrývá uvedené potřeby jako je ADAudit Plus, FileAudit Plus, EventLog Analyzer nebo komplexní Log360. Navíc si je můžete zdarma vyzkoušet s plnou podporou on MWT Solutions.