はじめに

Windowsで踏み台サーバを構築するケースってありますよね？

そんなWindowsの踏み台サーバのログイン証跡って
イベントログのSecurityから拾っている人が多い気がするんですが、もっと良い方法があるんです！

利用環境

・Windows7以降、WindowsServer2008R2以降
・Winlogbeat 6.5.4 (どのバージョンでもOKのはずです)

監査証跡として使えるイベントログ一覧

このMicrosoft-Windows-TerminalServices-LocalSessionManager/Operationalが使えます。

EventLog名	EventID	説明
Microsoft-Windows-TerminalServices-LocalSessionManager/Operational	21	OSログイン成功
Microsoft-Windows-TerminalServices-LocalSessionManager/Operational	23	OSログオフ成功
Microsoft-Windows-TerminalServices-LocalSessionManager/Operational	24	OSセッション切断
Microsoft-Windows-TerminalServices-LocalSessionManager/Operational	25	OSセッション再接続
Security	4625	OSログイン失敗

ログイン成功を[Security]の[4624]で拾おうとするとOSログイン以外でも結構ログが出ます。
正確な監査が出来ないので、自分は上記のイベントログを監査に利用するようにしています。
リモートデスクトップ接続でもローカルでのログインでも同じようにログが出ます。

イベントビューアーで見てみると

[アプリケーションとサービスログ] > [Microsoft] > [Windows]のかなり下の方にあります。
[TerminalServices-LocalSessionMAnager] > [Operational]を開きます。
ログイン成功の場合のEventID21は以下のような情報が出ています。

Winlogbeatを使ってログを可視化

Windowsのイベントログを監査などに利用する場合にオススメはElastic社のWinlogbeatです。

※導入手順は以下を参考にしてみると良いと思います。
【参考】
・Windows のイベントログを Winlogbeat+Elasticsearch+Kibana で可視化する

本投稿で紹介したイベントログを取得する場合の設定は以下の通りです。

winlogbeat.yml

#======================= Winlogbeat specific options ===========================
winlogbeat.event_logs:
  - name: Microsoft-Windows-TerminalServices-LocalSessionManager/Operational
    tags: ["login"]
    event_id: 21,23,24,25
  - name: Security
    tags: ["login"]
    event_id: 4625

#================================ Outputs =====================================
#-------------------------- Elasticsearch output ------------------------------
output.elasticsearch:
  # Array of hosts to connect to.
  hosts: ["<ElasticsearchのIPアドレス>:9200"]

EventLog名とEventIDを指定するだけでほしいイベントログをXML→JSON変換してOutputしてくれます。
Elasticsearchにoutputするだけで正規化は勝手にWinlogbeatが行ってくれるので超便利です。