Introduction
L'article suivant décrit quels types de données sont enregistrés par Field Effect MDR pour analyse. Pour voir nos exigences politiques qui maximiseront l'efficacité de Field Effect MDR, consultez Exigences de politique d'audit pour Field Effect MDR.
Data Collected by Field Effect
Agents
Field Effect collecte la télémétrie d'un appareil incluant :
- Exécution des processus
- Sessions utilisateur
- Logiciel installé
- Chargement du module et du pilote
- Activité du réseau
- Activité des médias amovibles
- Journaux d'événements système
Ces pointsde télémétrie s'appliquent à tous les systèmes d'exploitation supportés par Field Effect MDR. Avec Windows spécifiquement, Field Effect MDR peut collecter des dumps de plantage.
Collection de journaux : Politique avancée d'audit Windows
Field Effect MDR collecte les journaux d'événements suivants de la politique d'audit avancée :
| Event ID | Catégorie | Sour-catégorie | Détails |
|---|---|---|---|
| 4624 | Logon/Logoff | Logon | Un compte a été connecté avec succès |
| 4625 | Logoff, Audit Logon | Un compte n'a pas réussi à se connecter | |
| 4663 | Object Access | Kernel Object | Une tentative a été faite pour accéder à un objet |
| 4672 | Privilege Use | Audit Non-Sensitive Privilege Use | Privilèges spéciaux attribués à la nouvelle connexion |
| 4720 | Account Management | User Account Management | Un compte utilisateur a été créé. |
| 4722 | Un compte utilisateur a été activé. | ||
| 4725 | Un compte utilisateur a été désactivé. | ||
| 4728 | Security Group Management | Un membre a été ajouté à un groupe mondial axé sur la sécurité. | |
| 4729 | Un membre a été retiré d'un groupe mondial axé sur la sécurité. | ||
| 4732 | Un membre a été ajouté à un groupe local axé sur la sécurité. | ||
| 4738 | Security Group Management | Un compte utilisateur a été modifié. | |
| 4740 | User Account Management | Un compte utilisateur a été bloqué. | |
| 4741 | Computer Account Management | Un compte informatique a été créé. | |
| 4743 | Un compte informatique a été supprimé. | ||
| 4768 | Account Logon | Kerberos Authentication Service | Un billet d'authentification Kerberos (TGT) a été demandé. |
| 4769 | Kerberos Service Ticket Operations | Un billet de service Kerberos a été demandé. | |
| 4770 | Un billet de service Kerberos a été renouvelé. | ||
| 4781 | Account Management | User Account Management | Le nom d'un compte a été changé. |
Sources supplémentaires du journal d'événements
Les identifiants d'événements listés ci-dessous sont enregistrés et appliqués dans certaines analyses, mais ne sont pas activés par la politique d'audit avancée de Windows.
| Source | Event ID |
|---|---|
| List: WEL Source = System | 5829 |
| 5828 | |
| 5827 | |
| 7031 | |
| 1074 | |
| 41 | |
| WEL Source = Application | 15 |
| 51 | |
| List: Source = Microsoft-Windows-Windows Defender/Operational | 1015 |
| 1116 | |
| 1008 | |
| 1007 | |
| 1006 | |
| 1117 | |
| 1118 | |
| 1119 | |
| 1120 | |
| BList: Source = Microsoft-Windows-TerminalServices-LocalSessionManager/Operational | 21 |
| 25 | |
| List: Source = Microsoft-Windows-WLAN-AutoConfig/Operational | 11000 |
Capteur réseau (trafic)
Le capteur réseau est capable de collecter les indicateurs suivants pour analyse :
- Informations de connexion
- Source IP / Port
- Destination IP / Port
- Octets dans
- Octets sortants
- Nombre total de paquets
- Résolutions DNS
- Certificats TLS
- Utilisation des ressources pour les PME
- Résumé du trafic FTP
- Empreinte du trafic : DHCP, MDNS, informations NetBIOS
Intégrations cloud
Les données suivantes proviennent de fournisseurs de services infonuagiques intégrés à Field Effect MDR. Pour en savoir plus sur nos intégrations infonuagiques, consultez notre chapitre Centre d'aide sur le sujet.
| Fournisseur | Type d'événement | Description | Ressources |
|---|---|---|---|
| AWS | AWS CloudTrail Management Events | Fournit des informations sur les opérations de gestion effectuées sur les ressources à l'intérieur d'un compte AWS. Celles-ci sont aussi appelées « control plan operations » | En savoir plus |
| AWS GuardDuty Findings | Cela doit être activé dans AWS. Représente des problèmes de sécurité potentiels détectés dans le réseau. GuardDuty génère une découverte chaque fois qu'il détecte une activité inattendue et potentiellement malveillante dans un environnement AWS. | En savoir plus | |
| Azure AD | Office 365 Management Activity API | Utilisé pour récupérer des informations sur les actions et événements utilisateur, administrateur, système et politique à partir des journaux d'activité d'Office 365 et Azure AD. | En savoir plus |
| Google Workspace | Reports API activity data | Les rapports listent des informations pour les activités dans une application ou un service spécifique de Google Workspace. Les rapports d'activité incluent la date, l'heure, l'utilisateur et le type d'activité. | En savoir plus |
| Okta | System log data | Enregistre les événements du système liés à votre organisation. Cela fournit une trace d'audit qui peut être utilisée pour comprendre l'activité de la plateforme et diagnostiquer les problèmes. | En savoir plus |
Cet article a-t-il été utile ?
C'est super !
Merci pour votre commentaire
Désolé ! Nous n'avons pas pu vous être utile
Merci pour votre commentaire
Commentaires envoyés
Nous apprécions vos efforts et nous allons corriger l'article