OWA / ActiveSync

概述

Rapid7对OWA/ActiveSync活动的监控理解这些行为就像IIS组件。因此，您可以在收集器上配置一个目录监视器来监视运行Exchange软件的计算机的IIS日志，并查找匹配OWA/ActiveSync签名的web请求。

如果您有一个负载均衡器，如Netscaler，在您的OWA/Exchange服务器前，您可能会体验到所有用户的源IP是负载均衡器，而不是真正的IP地址。

要解决这个问题，您必须添加一个x-forwarded头部和日志与IIS。你可以学习更多关于如何做到这一点的知识在这里。

为收集器准备OWA/ActiveSync

为了让收集器从Microsoft Outlook Web Access (OWA)和ActiveSync服务中获取日志，在服务器端执行以下步骤:

  1. 确定对运行OWA / ActiveSync负责生成的Internet信息服务（IIS）进程的日志的目标文件夹。
  2. 确保IIS将预期的字段记录到日志文件中。
  3. 将日志文件夹与也要在insighttops中输入的只读凭据共享。

Internet信息服务配置

执行以下步骤:

  1. 收集OWA / ActiveSync日志以进行Insightops，以确定哪个服务器负责处理OWA / ActiveSync客户端请求。
  2. 从“开始”菜单启动IIS管理器。
  3. 在IIS管理器中单击Logging图标。
  4. Logging模块显示IIS日志记录的位置，以及如何指定要记录日志的确切字段。请记录日志文件夹，因为您需要在insighttops事件源中输入该文件夹。
  5. 单击“选择字段”按钮以选择要记录的相应字段。

为日志文件选择的字段应与以下屏幕捕获中显示的字段完全匹配：

  1. 单击“确定”按钮以保存更改。

Windows文件系统配置

配置日志文件夹，使采集器能够访问日志。

  1. 在Windows资源管理器中，右键单击IIS日志文件夹并单击属性。
  2. 在“高级共享”下的“属性”下，“勾号”共享此文件夹，然后单击“权限”按钮。
  3. 单击“添加...”，并提供可以访问此目录的凭据。当设置OWA / ActiveSync事件源时，此凭据的用户名和密码也将在Insightops中输入。

使用insight tops配置OWA

您可以配置OWA事件源，通过UNC标记和提供在设置共享文件夹时使用的凭据来读取共享文件夹。UNC表示法是微软的通用命名约定，是描述网络资源位置的常用语法。

注意：由于这些IP的地理位置通常非常不准确，移动提供商GeoIPS不会出现在入口活动地图上。通过无线网络的移动登录仍将显示在入口映射上。

执行以下步骤配置OWA与insighttops。

  1. 在“事件源”下拉列表中选择“Microsoft ActiveSync & Outlook Web Access”。
  2. （可选）在“显示名称”字段中输入此事件源的显示名称。
  3. 单击“监视目录”按钮以定义Collection方法。
  4. 刻度手表共享远程目录。
  5. 从credential下拉列表中选择适当的凭据。
  6. 在Username字段中输入用户名。
  7. 从type下拉列表中选择适当的类型。本例中选择“password”。
  8. 在“文件夹路径”字段中输入文件夹路径。
  9. 单击“保存”按钮。

Format日志格式为ELFF格式

IIS日志的不同日志记录格式是详细的在这里。Insightops仅支持ELFF格式的日志。日志必须按下列顺序具有正确的字段。任何其他字段都可以在日志中，但必须在“SC-Win32状态”字段之后。

排除OWA / ActiveSync日志记录

如果有MDM，负载平衡器或将外部端点连接到ActiveSync和ActiveSync服务器之间的一些其他设备，则Actiasync的IIS日志中的“源IP”将是错误的，因为它将指向源IP中间设备而不是外部端点的真实源IP，您将无法在地图上获得任何入口活动。

所有这些设备都有自己独特的方式在自定义HTTP请求字段中提供真正的源IP。要解决这个问题，请完成以下操作:

  1. 转到Exchange服务器，将其配置为高级日志记录，并将高级日志配置为与基本日志完全匹配
  2. 使用新的字段替换源IP（将是中间设备，在这种情况下，在这种情况下）设备已添加设备，这表示外部端点的真实源IP。

IIS 7的高级日志记录

已找到关于高级日志记录的Microsoft文档在这里。

请注意您如何添加字段。将一些实际日志与基本记录器中出来的日志进行比较。您可能需要第一次对高级记录器进行一些更改，以确保字段是您想要的，并且它们处于正确的顺序。

IIS 8.5的高级日志记录

您可以了解增强的日志记录在这里。

现场订购如下：

          

           文本

            
           

          

           

            

             1

            s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) sc-status sc-substatus sc-win32-status . date time s-ip cs-method cs-uri-stem cs-uri-query

笔记：将切换C-IP的真实IP源IP地址，它是日志均衡器创建的自定义上述字段。