Windows Logları Filtreleme
Microsoft, Windows Event Log API ‘si ile geliştiricilere Windows içerisinde tutulmuş loglara erişebilmeyi sağlıyor. Erişebilmekten daha fazlasını da yapabilen bu API’nin önemli özelliklerinden biri de istemcinin xml ile sorgu (XPath) yapabilmesi. Kısacası bu API’yi kullanarak sizde kendi istemcinizi yapabilirsiniz.
Bu yazı da, iki amacım var. Birincisi Windows’da bu API’yi kullanan Event Viewer üzerinden bir anlatımla diğer istemciler için logları nasıl filtreleyebileceğimizi anlatmak. Bir diğeri ise QRadar gibi SIEM ürünlerinde XPath’in destekleniyor olması.
XPath sayesinde sadece istediğiniz (filtrelediğiniz) logların SIEM ajanları tarafından SIEM’e xml ile kolayca aktarılmasını sağlayabiliyorsunuz. Şimdi gelin lafı daha fazla uzatmadan nasıl gerçekleyeceğimizi görelim.
Öncelikle logları görüntülediğimiz Event Viewer’ı açalım.
Event Viewer istemcisi arka planda bir sorgu işlemi gerçekleştirdi ve ekranımıza olay kayıtlarını yansıttı. Windows Logs altında Security view’ine bakalım. Windows içinde oluşan audit log dediğimiz kayıtlar Event Viewer içinde bura da görüntüleniyor. İsterseniz sizde Event Viewer içerisinde var olanlar üzerinden ya da sıfırdan yeni bir view oluşturabilirsiniz.
Örneğin Security üzerinden bir View oluşturalım.
Diyelim ki tüm seviyelerde log almak istemiyorum. Sadece kritik ve bilgi niteliğindeki seviyedeki logları almak istiyorum. Bu durumda aşağıdaki gibi Filter tabındayken bir filtreleme yapabilirim.
Bir isim verip kaydettikten sonra sonuçlarını görebilirsiniz.
Peki bu yaptığımız şeyin XML’deki karşılığı nedir ? Yukarıdaki filtreleme yaparak oluşturduğumuz view için xpath sorgusunu çıktısını XML tabında görebiliyoruz.
Bu xml’i XPath destekleyen bir istemciye vererek filtrelenmiş logları görebiliriz. Örneğin SIEM ürünü QRadar’da, Wincollect ajanı ile logları toplayıp merkeze yollayabiliyoruz. Merkez QRadar’a şunu diyebilir. XML ‘i al ve bu filtrelere göre logları bana gönder.
Örneğin QRadar içerisinde yazdığımız yukarıdaki sorgu ile Windows’a ait Security ve Exchange sunucuya ait audit logları birlikte alabiliriz..