Preparazione del Server
BusinessLog utilizza le registrazioni di sistema per acquisire i log di accesso e il sistema integrato di accesso remoto al registro per effettuare le scansioni remote.
Per il corretto funzionamento è necessario:
-
Abilitare gli audit di registrazione degli accessi utente
-
Avviare il servizio Registro di sistema remoto (Remote Registry)
-
RPC Locator (per installazioni legacy)
-
WMI (Windows Management Instrumentation)
-
RPC (Remote Procedure Call)
Si consiglia di abilitare una Group Policy in grado di propagare automaticamente l’attivazione su tutte le macchine.
Inoltre, sarà necessario modificare le Group Policy per la registrazione degli accessi utente (se non già abilitata).
Inoltre, per ottenere un controllo completo sugli access-log, è necessario intervenire anche nella sezione “Configurazione Avanzata”:
Queste sono le voci individuate come “audit predefinito”, ma è comunque possibile integrare ulteriori policy, in base alle indicazioni del vostro sistemista.
Monitorare modifiche Firewall
Per monitorare eventuali modifiche al Windows Firewall, è necessario attivare:
L’attivazione degli audit Firewall comporta una notevole produzione di log nei client, a causa delle numerose modifiche generate dai software installati.
Un audit di questo tipo è consigliato solo per i server.
Remote Registry
Per abilitare l’avvio automatico del servizio Remote Registry su tutte le macchine:
La stessa operazione deve essere ripetuta anche per i seguenti servizi:
-
Remote Procedure Call (RPC)
-
Remote Procedure Call (RPC) Locator
-
Windows Remote Management (WS-Management)
-
Windows Management Instrumentation
Il servizio Remote Registry è fondamentale per le comunicazioni tra la macchina host di BusinessLog e le altre macchine rilevate in rete e sottoposte a scansione.
Se questo servizio risulta disabilitato, la scansione remota non sarà possibile e verrà restituito un errore di rete.
In alcuni sistemi, per impostazione predefinita, il servizio Remote Registry viene interrotto automaticamente dopo 10 minuti di inattività.
Per disabilitare questo comportamento è possibile impostare la seguente chiave di registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\RemoteRegistry
con il valore "DisableIdleStop" (DWORD) impostato a 1.
