Enrichment

SIEM: Enrichment – Implementierung des Realen Namen aus dem AD

Enrichment

Die funktion des Enrichment erlaubt es dem System, Events mit Daten anzureichern die in den ursprünglichen Logs nicht enthalten sind. Als Beispiel kann man hier die Benutzernamen nennen, den meistens sind diese kryptisch und daher ist es schwer zu erkennen, wer hinter der kryptischen bezeichnung steht. Wenn hier die Funktion der Anreicherung genutzt wird, wird der Benutzername durch den Klarnamen ersetzt.
Weitere Enrichment Informationen können die E-Mail Adresse, die Telefonnummer, oder der Ort des Computers und vieles mehr sein.

Als Beispiel möchte ich das oben beschrieben aufgreifen.

Konfiguration

Um das Enrichment konfigurieren zu können, wird die IP-Adresse, ein LDAP-User sowie das Passwort benötigt.

1. Oben rechts auf die Systemeigenschaften / System Properties klicken
2. Im neuen Fenster auf der linken Seite auf Data Enrichment klicken und mit Add ein neues Data Enrichment erstellen.
3.  Im neuen Fester „Main“ wird dann als:

  • Enrichment Name: Real_Name_from_User_ID
  • Enable: Yes
  • Lookup Type: String
  • Enrichment Type: String
  • Pull Frequency: Daily At Specified Time
    • Daily Trigger Time: Zu der Zeit an der die Daten abgerufen werden sollen

4. Im nächsten Tab „Source“:

  • Type: LDAP
  • IP-Adresse: IP-Adresse des AD Server
  • Username: Domain\user_id
  • Passwort: Das Passwort eben

5. Im nächsten Tab „Query“:

  • Lookup Attribute: sAMAccountName
  • Enrichment Attribute: displayName
  • Query:
    • (objectClass=person)

6. Im nächsten Tab „Destination“:

  • Auf Add klicken
  • den Reciver auswählen
  • Lookup Field: Source User
  • Enrichment Field: Contact_Name
  • OK

Enrichment

 

 

 

 

 

 

7. Klick Finish

 

ADD YOUR COMMENT

ss