Dotaz: analyza windows evenlog z linuxu

[Jan Kratochvíl]

Zdravim vsechny,

chci se zeptat, jestli nekdo nema zkusenosti s monitorovanim windows eventlogu z linuxu. Jednoduchy scenar, linux se v predem danych intervalech zepta windows masiny, zda ma nejake nove eventy ty vyfiltruje podle zadanych filtru a provede definovanou akci... Je asi jedno, jestli na Windows serverech pobezi nejaky demon, nebo to bude delat nejak primo. Koukal jsem po svete a existuje spousta takovejch polo veci, ale nic takhle jednoduchyho.

Pro zacetek mi asi staci ta linuxova ctecka, zbytek si kdyztak sesmolim sam.

Diky Honza

Odpovědi

[llib]

Hm... pstools by se využít nedali?

[Jan Kratochvíl]

No mam za to ze to bezi jen na windows, potreboval bych presne neco takovyho, akorat binarku pro linux. Ted jsem objevil nejakou Perl knihovnu pro cteni EVT formatu, uvidime, jestli z toho neco vymacknu.

http://www.xav.com/perl/site/lib/Win32/EventLog.html

[Jan Kratochvíl]

Tak jeste jednou, ten Perl module je asi taky jenom pro widle, ale objevil jsem neco, co vypada pouzitelne, uvidime, kam se dostanu s praktickejma testama ....

http://www.sentinelchicken.org/projects/grokevt/

[Jan Kratochvíl]

Ještě jednou si odpovím sám, to předchozí řešení také není úplně ono. Tak kdyby to někoho zajímalo, v současné době se vyvíjí Samba4 www.samba.org která by to mohla umět, případně je asi možné použít samba-tng www.samba-tng.org. Chvíli jsem s tím experimentoval, ale nebylo to moc použitelné, ono asi získávat ty eventy z těch logů neni vůbec triviální.....

[Peter Lehotsky]

A neni lepsi pouzit eventlog2syslog, tj. remote logovani z widli do syslogu na linuxovem stroji? Hledejte googlem evtsys.exe.

Tohle normalne pouzivam.

[Peter Lehotsky]

https://engineering.purdue.edu/ECN/Resources/Documents/UNIX/evtsys

[Jan Kratochvíl]

Hmmm... to vypada zajimave, trochu jsem se toho bal a nechtel instalovat tu servisu na vsechny stroje (je to prace navic), ale nakonec to asi bude nejelegantnejsi reseni.

Nasel jsem jeste tenhle agent, je taky open http://www.intersectalliance.com/projects/SnareWindows/index.html, nema nekdo nejake prakticke zkusenosti s obema? Aby se dalo rict, kterou cestou se vydat?

[Peter Lehotsky]

Nainstalovat tu sluzbu na vsechny stroje muzete hromadne logonscriptem nebo jina pomoci AD (preferuji logon).

Snare je snort pro widle, viz muj predchozi prispevek. Rychlejsi a jednodusi cesta je evt2sys.

[rastos]

Kedysi som niečo také hľadal (konkrétne čítať eventlog offline na linuxe) a našiel som jeden perlový projekt, ktorý to mal vedieť, ale ten potreboval mať všetky resourcové dll-ky odkazované z toho eventlogu. A to bolo pre mňa nereálne, tak som to vzdal.

[Peter Lehotsky]

Muzes si pustit evntvwr.exe pod wine ale potrebujes knihovny a mmc, nebo jeste me napada snort agent na wokna ale to mas stejne jako syslog a na offline log ti nepomuze.