Переадресация на: Как поставить переадресацию на телефоне на определенный номер, перенаправление на другой номер

Переадресация вызова | Киевстар

Оставайтесь на связи, даже когда не можете ответить на звонок. Все входящие вызовы перенаправятся на другой номер или на автоответчик.

 Как работает переадресация

• Вы подключаете услугу «Переадресация вызова».
• На номер Киевстар поступает входящий звонок.
• Вызов автоматически перенаправляется на указанный номер, при этом ваш мобильный телефон не звонит.
• Вы отвечаете на звонок с телефона, на который перевелся вызов.

 Когда срабатывает переадресация

• Если нет ответа
  Входящий вызов будет автоматически перенаправляться на другой номер, если вы не отвечаете на звонок на своем телефоне.
• Если номер недоступен
  Входящие вызовы будут автоматически перенаправляться на другой номер, если ваш телефон отключен или находится за пределами покрытия Киевстар. Когда вы вернетесь в сеть, звонки снова будут поступать на ваш телефон.
• Если линия занята
  Входящие вызовы будут автоматически перенаправляться на другой номер, если вы разговариваете и у вас не активирована услуга ожидания вызова.
• Безусловная переадресация
  Все входящие будут автоматически перенаправляться на другой номер. Услуга будет действовать даже если ваш телефон выключен. Чтобы снова принимать входящие звонки, отмените переадресацию.

Пожалуйста, обратите внимание

Подключив режим безусловной переадресации, все другие режимы переадресации будут отключены. Во всех остальных случаях — режимы переадресации могут работать параллельно.

У некоторых телефонах есть дополнительные виды переадресации: переадресация факсимильных звонков и переадресация передачи данных.

 Как поставить переадресацию

• Через меню мобильного телефона. В разных моделях телефонов разделы могут называться по-своему: «Переадресация», «Перенаправление». Найдите раздел, выберите тип переадресации и укажите номер, на который будут переводиться звонки.
• Через «Мой Киевстар». Перейдите на страницу «Мой Киевстар» → «Услуги → «Подключенные услуги» → «Управление связью» → «Переадресация вызовов». Выберите тип переадресации и укажите номер, на который будут переводиться звонки.

  Пожалуйста, обратите внимание:Через «Мой Киевстар» вы можете настроить переадресацию только на номера Киевстар.

• Через голосовое меню.Позвоните на короткий номер и следуйте подсказкам.

Включить переадресацию — вы вносите в систему номер, на который будет перенаправляться звонок.

Активировать переадресацию — вы активируете функцию переадресации на указанный ранее номер.

Отменить переадресацию — из системы удаляется номер, на который была установлена переадресация.

Отключить переадресацию — вы деактивируете переадресацию, но в системе сохраняется номер, на который была установлена переадресация.

 Сколько стоят переадресованные звонки

У переадресованных звонков нет дополнительной платы — их стоимость будет по условиям вашего тарифа.

Кто может настроить переадресацию звонков в роуминге

Пожалуйста, убедитесь, что у вас достаточно средств на счету и включены исходящие звонки и SMS.

Сколько стоят переадресованные звонки в роуминге

Переадресация: Управление сценариями переадресации с отслеживаемых номеров – Calltouch

• Использование мобильных или городских номеров, кроме бесплатных номеров в коде 800
• Переадресация на добавочные на вашей стороне
• Настройка добавочных на нашей стороне
• Переадресация на вашу АТС посредством ее адреса в формате SIP URI
• Переадресация на вашу АТС посредством поднятого SIP trunk’а на нашей стороне
• Переадресация на группу мобильных или городских номеров последовательно, параллельно, в процентном соотношении, или по кругу
• Переадресация по времени или дням недели
• Переадресация повторных звонков тому же менеджеру, который обработал первичный звонок
• Настройка голосового приветствия или голосового меню на нашей стороне

Из этого списка часть сценариев можно настраивать и редактировать самостоятельно в новом интерфейсе настроек телефонии (см. далее), а часть доступна только для применения – настройка и редактирование осуществляется технической поддержкой Calltouch (подробности ниже).

Важно: Если вы используете номера в коде 800, значит у вас уже есть какой-либо другой конечный пункт для настройки переадресации: городской или мобильный номер, SIP trunk. Поэтому целесообразно настраивать переадресацию в обход номера 800 – сразу туда, где вы будете принимать звонки. Обратитесь в техническую поддержку оператора, который предоставил вам номер 800, чтобы узнать на какую конечную точку он настроен.

Важно: При использовании группы номеров, на каждом номере нужно обязательно отключить голосовую почту, автоответчик, удержание вызова, вторую линию и другие подобные функции. Иначе звонок не переключится на следующий номер переадресации, т.к. будет отвечен роботом голосовой почты, автоответчика.

Важно: При использовании голосового меню на вашей стороне, настройки добавочных зависят только от возможностей вашей АТС.

Важно: При использовании голосового меню на стороне Calltouch, все настраиваемые на нашей стороне добавочные должны быть одинаковой длины: либо все 2-х значные, либо всех 3-х значные, либо все 4-х значные и т.д. Использовать добавочные разной длины, например 1-о значные вместе с 2-х или 3-х значными, технически не реализуемо на стороне нашей АТС.

На данной табе отображается список сценариев переадресации, как используемых на номерах, так и не используемых. Существующие сценарии можно использовать при подключении новых пулов или при редактировании существующих пулов. Сценарии, которые не закреплены за номерами, можно удалить.

Для редактирования сценария переадресации наведите на него курсором и кликните на кнопку «Редактировать». Настройки при редактировании сценария полностью совпадают с настройками при добавлении нового пула на шаге 3 – создание и настройка сценария переадресации. 

Важно: Редактировать существующий сценарий можно только в рамках уже заданного типа сценария.

Для удаления сценария переадресации наведите на него курсор и кликните соответствующую кнопку. Сценарий можно удалить только, если он не используется ни в одном пуле.

 Добавить новый сценарий можно по соответствующей кнопке на табе Переадресация:

Далее откроется панель настройки, в которой можно настроить один из простых сценариев.

Настройка в ЛК простых сценариев переадресации

Через новый интерфейс настроек телефонии можно настраивать и редактировать простые сценарии переадресации, такие как:

Возможности при редактировании полностью аналогичны настройкам при создании сценария переадресации на шаге 3 добавления нового пула на табе Отслеживание.

Переадресация на номер

В новом интерфейсе возможно самостоятельно настроить:

• переадресацию на один номер
• переадресацию на два номера последовательно: сначала звонок пойдёт на номер переадресации и дальше, в случае его недоступности, звонок будет переадресован на резервный номер.

Все прочие варианты сценариев переадресации, состоящие из номеров, являются кастомными.

Переадресация на SIP URI

В опции «Тип сценария» выберите значение «Переадресация на SIP URI». В этом случае для переадресации будет использоваться существующий SIP-сервер на Вашей АТС, переадресация звонков на который будет реализована через адрес SIP URI в формате user@server. Пример SIP URI адреса: [email protected].

После заполнения необходимых полей нажмите «Сохранить» чтобы завершить создание нового пула.

Подробнее о преимуществах SIP-телефонии и том как она работает написано ниже.

 Перед настройкой переадресации на SIP URI, рекомендуем проверить его доступность на сайте call2sip.ru.

Также для корректной работы телефонии иногда требуется добавление на вашем оборудовании одного или нескольких IP-адресов, с которых Calltouch может слать вам вызовы:

31.184.230.107 – centrex12.telemir. net
31.184.230.109 – centrex11.telemir.net
31.184.230.110 – centrex10.telemir.net
31.184.230.119 — centrex09.telemir.net
31.184.230.118 – centrex08.telemir.net
31.184.230.117 — centrex07.telemir.net
31.184.230.116 — centrex06.telemir.net
31.184.230.115 — centrex05.telemir.net
31.184.230.114 — centrex04.telemir.net
31.184.230.113 — centrex03.telemir.net
31.184.230.112 — centrex02.telemir.net
31.184.230.111 — centrex01.telemir.net

31.184.230.108 — callback02.telemir.net

31.184.230.96/27

RTP 57341:65535

Для уточнения какой именно адрес следует добавить конкретно в вашем случае обращайтесь к вашему аккаунт-менеджеру Calltouch либо в тех. поддержку [email protected].

На случай проблем в сети Интернет рекомендуется настроить резервный номер переадресации.

Переадресация на SIP trunk

В опции «Тип сценария» выберите значение «Переадресация на SIP Trunk». Адрес SIP-сервера будет предоставлен после сохранения настроек, вы сможете скопировать его на соседней табе «Переадресация», кликнув на редактирование создаваемого вами сейчас сценария.

На случай проблем в сети Интернет рекомендуется настроить резервный номер переадресации.

После заполнения необходимых полей нажмите «Сохранить», чтобы завершить создание нового пула.

Сложные сценарии переадресации

Сложные сценарии – это кастомные сценарии, отличающиеся от простых дополнительной настройкой из списка возможных выше. 

В интерфейсе доступно описание типа переадресации, за подробным пояснением как именно настроен такой сценарий обратитесь к вашему аккаунт-менеджеру Calltouch или в техническую поддержку [email protected].

Кастомные сценарии можно точно так же назначать номерам, как и простые сценарии. Ограничено только создание и редактирование таких сценариев. Создать и отредактировать кастомный сценарий можно по запросу к вашему аккаунт-менеджеру Calltouch или в техническую поддержку info@calltouch. net. Запрос на редактирование уже настроенного кастомного сценария также можно отправить напрямую из интерфейса:

Чем SIP-телефония лучше аналоговой?

Из всех возможных сценариев переадресации мы рекомендуем использовать сценарий переадресации с использованием виртуальной IP-телефонии – SIP. Чтобы наглядно представить и понять чем SIP-телефония лучше аналоговой, достаточно вспомнить каким мы пользовались телевидением раньше и каким пользуемся сейчас. Раньше телевидение было аналоговым – через кабель к нам в квартиру поступал сигнал с антенн, монтаж и проводка которых были на авось выполнены электриками десятки лет назад. Отсюда помехи и некачественный сигнал. Сейчас в большинстве крупных городов используется цифровое телевидение через приставку, подсоединенную к интернету. И теперь, вместо помех и некачественного сигнала, в наших домах FullHD видео с идеальной картинкой и тысячами каналов, переключающихся мгновенно.

Аналогично и SIP-телефония, работающая через интернет, несоразмерно лучше, качественнее, быстрее и главное надежнее, чем аналоговая, работающая по технологии прошлого века. Вот лишь некоторые преимущества SIP-телефонии:

• Безопасность: Если для того, чтобы перехватить звонок по аналоговому соединению, злоумышленнику достаточно вклинится в линию, то SIP-телефония надежно защищена современными алгоритмами шифрования на уровне АТС. Зашифрованный сигнал идет от АТС к АТС и не может быть перехвачен.
• Надежность: Цифровые АТС надежно защищены как на аппаратном уровне так и на программном от всех возможных проблем.
• Скорость: В эпоху гигабитного интернета даже видео в формате 4K загружается мгновенно в режиме онлайн, не говоря уже об обычных голосовых звонках.
• Неограниченная канальность номеров: Пропускная способность интернет-канала позволяет передавать/принимать одновременно неограниченное количество звонков.
• Высокое качество: Голосовой трафик кодируется современными звуковыми кодеками, в результате чего оператор и клиент будут кристально четко слышать друг друга.

Важно: качество связи при использовании SIP сильно зависит от качества интернет-канала. Ниже перечислены важные параметры для обеспечения качественной работы переадресации по SIP:

• Минимальная полоса пропускания для одного разговора – 100 кбит/с
• Потерь пакетов должно быть не более 5% от общего общего количества отправляемых пакетов
• Максимальная задержка при передаче IP-пакетов – 100-150 миллисекунд
• Отклонения от среднего уровня задержки – не более 100-150 миллисекунд

Как работает переадресация через SIP Trunk

В случае использования сценария переадресации на SIP trunk, мы поднимаем SIP-сервер на своей АТС, после чего вы сможете подключиться к нему из своей АТС по авторизованным данным, указанных в настройках сценария: адрес SIP-сервера, логин и пароль.

При настройке регистрации нашего SIP trunk’а на своей АТС используйте SIP Invite Format в формате [email protected].

Если у Вас нет своей АТС, то SIP trunk можно зарегистрировать и на обычном софт-фоне, например, Zoiper (для Windows) или Telephone (для Mac). Зарегистрировав в них авторизационные данные SIP trunk, Вы сможете отвечать на звонки прямо со своего компьютера.

Перечень IP-адресов для внесения на оборудование, с которого будут приходить вызовы от Calltouch

Calltouch будет слать вызовы со следующих IP-адресов:

31.184.230.107, 31.184.230.108, 31.184.230.109, 31.184.230.110, 31.184.230.111, 31.184.230.112, 31.184.230.113, 1.184.230.114, 31.184.230.115,  31.184.230.116, 31.184.230.117, 31.184.230.118, 31.184.230.119

Добавление этих адресов на вашем оборудовании необходимо для корректной работы телефонии.

Чем переадресация на SIP trunk лучше переадресации на SIP URI?

При выборе способа переадресации по SIP мы рекомендуем использовать SIP trunk, так как он надежнее SIP URI. Всё дело в том, что SIP-URI – это адрес конкретного оборудования, куда вызов будет направлен в любом случае, доступно оборудование или нет. При отсутствии ответа в течение некоторого времени, вызов будет переадресован на резервный номер.

При переадресации на SIP trunk мы еще до отправки вызова знаем зарегистрирован он или нет. В случае отсутствия регистрации, мы можем сразу отправить вызов на резервный номер. Более того, вы можете регистрироваться в данном транке с разного оборудования.

Резервный номер переадресации

В случае, если основной сценарий переадресации будет недоступен – на вашей АТС вдруг возникли проблемы связи, например, обесточивание электропитания – можно автоматически переадресовать звонок клиента на резервный номер. 

Для этого в настройках сценария переадресации на шаге 3 необходимо указать номер и сколько в секундах ожидать ответа:

Важно: Особенно актуально указывать резервный номер при использовании SIP URI или SIP trunk, чтобы ни один звонок клиента не был потерян, если возникнут проблемы с сетью Интернет или регистрацией SIP на вашем оборудовании. 

Если вы решили не использовать резервный номер переадресации, то необходимо включить соответствующий чекбокс:

Включив эту опцию, вы рискуете потерять звонки клиентов в вашу компанию. 

Игнорировать оповещения на основном сценарии

При переадресации на резервный номер голосовые оповещения на основном сценарии (мелодии, гудки и т.п.) можно проигнорировать – это поможет корректно определить, что на основном сценарии не ответил реальный человек или номер не доступен, и выполнить переадресацию на резервный номер. 

Переадресация вызова

Услуга позволяет переводить поступающие на ваш мобильный телефон вызовы на любой указанный вами городской (можно на междугородний и международный номер через соответствующий код) или мобильный номер.

Для того чтобы воспользоваться этой услугой, необходимо ее заказать при помощи Мобильный Помощник или в Центре обслуживания абонентов МТС, а затем активировать, либо с помощью меню телефона, либо набором клавиш.

Коды установки

• 21 — все звонки/all calls;
• 67 — все звонки, когда номер занят/on busy;
• 61 — все звонки, когда номер не отвечает/no reply;
• 62 — все звонки, когда телефон вне зоны радиопокрытия или выключен/unreachable;
• 004 — все три условия (61, 62, 67).

Управление

Активация переадресации вызова на городские номера

** код * +375 <код города> <номер телефона, на который нужно переадресовать
вызовы># 

Проверка установки

*# код #

Деактивация

## код #

Деактивация всех кодов

## 002 #

По типам данных

При установке переадресации вызова можно использовать параметр ТС — тип телефонного звонка (по умолчанию установлено 10):

• 10 — все типы;
• 11 — голос;
• 13 — факс;
• 25 — данные.

Активация:
** код * +375 <код города> <номер телефона> (* ТС *время)#.

Деактивация:
## код * ТС#.

Примеры

1. Переадресация всех голосовых звонков, когда номер не отвечает в течение 20 секунд, на городской номер в Минске 223-45-67 (возможные значения интервала времени: 5, 10, 15, 20, 25 и 30 секунд):
** 61 * +375 17 223 45 67 * 11 * 20 #.

2. Переадресация всех звонков, когда номер не отвечает в течение 15 секунд, на городской номер в Гомеле  55-55-11:
** 61 * +375 232 55 55 11 * 10 * 15 #.

Внимание!
При переадресации звонка эфирное время округляется поминутно в большую сторону (если иное не предусмотрено тарифным планом).

Вызовы, переадресованные на другой телефон, оплачиваются в зависимости от направления звонка: переадресация на мобильные МТС, городские, междугородние и телефоны других операторов РБ оплачивается в соответствии с тарифным планом; переадресация на международные номера оплачивается как исходящий международный вызов. При переадресации звонка с мобильного телефона А на мобильный B, абонент А оплачивает стоимость исходящего звонка на мобильный B.

При нахождении абонента СООО «Мобильные ТелеСистемы» в роуминге оплата за переадресованный звонок будет начисляться по следующим тарифам:

1. Если вы установили безусловную переадресацию вызова (код 21), то оплата за переадресацию звонка на городские, междугородние, мобильные МТС и др. операторов сотовой связи в РБ оплачиваются в соответствии с тарифным планом; переадресация на международные номера оплачивается по стоимости исходящего международного вызова.
2. Если установлена условная переадресация (код 61, 62, 67), то оплата будет рассчитываться следующим образом: тариф для входящего звонка на Ваш телефон, находящийся в роуминге + тариф для исходящего звонка на данный номер в соответствии с роуминговыми тарифами.

Запрет переадресации вызова

В случае, если вы не хотите чтобы на ваш номер была установлена переадресация со стороны других абонентов МТС необходимо подключить услугу «Запрет переадресации вызова».

Добавление и удаление услуги «Запрет переадресации вызова» возможно в Салоне связи МТС, по звонку в Контактный центр МТС и с помощью приложения «Мой МТС» в разделе «Услуги».

Списание абонентской платы за услугу «Запрет переадресации вызова» производится ежедневно равными долями пропорционально количеству дней в текущем календарном месяце.

При установлении на лицевом счете абонентского номера частичной блокировки, услуга оказывается, списание абонентской платы производится ежедневно равными долями пропорционально количеству дней в текущем календарном месяце.

При установлении на лицевом счете абонентского номера блокировок «Принудительная», «Добровольная», «Аппарат утрачен» услуга «Запрет переадресации вызова» не предоставляется, списание ежемесячной абонентской платы не производится.

Услуга предоставляется абонентам всех тарифных планов, кроме абонентов тарифного плана «Компания SMS».

Стоимость услуги составляет 1 рубль с учетом НДС в месяц.

Переадресация вызовов

Москва и область

Санкт-Петербург и область

а

Алтайский край

Амурская область

Архангельская область

Астраханская область

б

Белгородская область

Брянская область

в

Владимирская область

Волгоградская область

Вологодская область

Воронежская область

е

Еврейская АО

з

Забайкальский край

и

Ивановская область

Иркутская область

к

Калининградская область

Калужская область

Камчатский край

Кемеровская область

Кировская область

Костромская область

Краснодарский край (кроме Сочи)

Краснодарский край (Сочи)

Красноярский край

Крым

Курганская область

Курская область

л

Липецкая область

м

Магаданская область

Мурманская область

н

Ненецкий АО

Нижегородская область

Новгородская область

Новосибирская область

о

Омская область

Оренбургская область

Орловская область

п

Пензенская область

Пермский край

Приморский край

Псковская область

р

республика Адыгея

республика Алтай

республика Башкортостан

республика Бурятия

республика Дагестан

республика Ингушетия

республика Кабардино-Балкария

республика Калмыкия

республика Карачаево-Черкесия

республика Карелия

республика Коми

республика Марий Эл

республика Мордовия

республика Саха (Якутия)

республика Северная Осетия-Алания

республика Татарстан

республика Тыва

республика Удмуртия

республика Хакасия

республика Чечня

республика Чувашия

Ростовская область

Рязанская область

с

Самарская область

Саратовская область

Сахалинская область

Свердловская область

Севастополь

Смоленская область

Ставропольский край

т

Тамбовская область

Тверская область

Томская область

Тульская область

Тюменская область

у

Ульяновская область

х

Хабаровский край

Ханты-Мансийский АО

ч

Челябинская область

Чукотский АО

я

Ямало-Ненецкий АО

Ярославская область

Как включить пересылку электронной почты для моего почтового ящика в AppSuite или Megamail? · Служба поддержки Web.

Наши почтовые платформы могут настроить почтовый ящик для автоматической пересылки всех полученных сообщений на пять разных адресов электронной почты. Это нам пригодится, если:

• Вы хотите использовать один почтовый ящик для получения корреспонденции и иметь несколько пользователей, которые могут получать эти сообщения, или
• Вы хотите отправить электронное письмо в другой почтовый ящик в виде архива или резервной копии.

Выберите платформу электронной почты ниже, чтобы просмотреть инструкции.

Следуйте этим инструкциям по настройке пересылки электронной почты:

1. Войдите в свою веб-почту, посетив mail.yourdomainname.ext.

2. Введите имя пользователя и пароль для своего почтового ящика, а затем нажмите кнопку Login .

Примечание: Замените ваше фактическое доменное имя на yourdomainname.ext. Например, mail.webmailsupport.com.

3. Щелкните Mail , чтобы развернуть параметры, а затем выберите Автопересылка .

4. На этой странице вы можете ввести до пяти адресов электронной почты для пересылки сообщений. Введите адрес (а) в соответствующие поля, а затем установите флажок Включить пересылку . Нажмите кнопку Сохранить .

Примечание: Если вы не установите флажок Сохранять копию каждого перенаправленного сообщения, то сообщения будут удалены из почтового ящика и нашего сервера после успешной пересылки на адрес (а) электронной почты назначения, указанный выше .

В начало

Следуйте этим инструкциям по настройке пересылки электронной почты:

1. Войдите в веб-почту, посетив mail.yourdomainname.ext. Введите свое имя пользователя и пароль для своего почтового ящика, а затем нажмите кнопку Login .

Примечание: Замените ваш фактический домен своим vash_domen.ext. Для вашего примера mail.webmailsupport.com.

2. В правом верхнем углу приложения веб-почты нажмите кнопку Gear . Затем щелкните Настройки .

3. Щелкните Моя учетная запись и щелкните Пересылка.

4. После включения вы можете добавить почтовый ящик, на который хотите пересылать почту, и если вы хотите сохранить копию в почтовом ящике, выберите Сохранить локальную копию .

В начало

для защиты сети | by Palantir

Схема XML объяснена в документации Microsoft MSDN. Центральные точки конфигурации:

• MaxItems. Максимальное количество элементов, которые должны быть упакованы перед отправкой. Рекомендуется использовать меньшее значение MaxItems для критических с точки зрения безопасности событий, таких как удаление журнала.
• MaxLatencyTime. Максимальное время (в миллисекундах), которое может пройти до пересылки журналов событий, если не превышено значение MaxItems.Это следует рассматривать как максимальную задержку, которую вы готовы терпеть в ожидании любого данного события.
• Запрос. Запрос является сердцем подписки и определяет, какие идентификаторы событий должны быть отправлены, а какие — подавлены. Запросы XPath можно использовать для дальнейшей фильтрации, см. Ниже.
• ContentFormat. Определяет, отправляется ли весь текст записи события (более крупный, но более подробный) или только двоичные данные. Для удобства чтения и анализа мы используем RenderedText для всех подписок.
• Файл журнала. Место назначения журнала на удаленном сборщике журнала событий. Хотя пересылка событий Windows будет использовать собственный канал событий «Перенаправленные журналы», мы будем полагаться на настраиваемые каналы журналов, см. Ниже.

Поскольку подписки представляют собой файлы XML, их источник можно контролировать в репозитории Git. В сочетании с конвейером непрерывной интеграции (CI) модификация, пересмотр, совместная работа и развертывание подписки WEF становятся надежными и повторяемыми. Пример рабочего процесса может позволить группе InfoSec напрямую изменять подписки WEF для сбора критически важных для безопасности журналов событий, в то же время позволяя группе поддержки и эксплуатации подавать запрос на вытягивание с подпиской для сбора журналов сбоев для собственного использования.

Фильтрация событий с помощью XPath

Чтобы поддерживать высокоточную базу данных событий или SIEM, важно отфильтровать события до подмножества, относящегося к инфраструктуре организации. WEF поддерживает XPath в качестве языка запросов для реализации таких фильтров. Следующее является лишь кратким руководством по фильтрации WEF XPath, но, надеюсь, поможет вам начать создание и тестирование собственной пользовательской фильтрации, чтобы максимально эффективно использовать WEF.

XPath — это, по сути, метод выбора определенных узлов XML из документа XML, а WEF поддерживает подмножество XPath 1.0. Основное ограничение заключается в том, что селектором событий могут быть выбраны только элементы XML, представляющие события. Все допустимые селекторы начинаются с Событие или * .

Для простых запросов, которые выбирают события из одного источника, можно использовать выражение XPath. Если выражение XPath является составным выражением, содержащим более 20 выражений, или вы запрашиваете события из нескольких источников, то вы должны использовать структурированный XML-запрос, см. Использование событий. Подробнее об элементах структурированного XML-запроса см. Схема запроса.Есть 4 основных селектора:

• QueryList. Корневой узел запроса
• Query (QueryListType). Определяет набор селекторов и подавителей, которые используются для включения и исключения событий из набора результатов.
• Выбрать. Запрос XPath, определяющий, что нужно включить в набор результатов
• Подавить. Запрос XPath, определяющий, что следует исключить из набора результатов

Ниже показан структурированный запрос XML, определяющий набор селекторов и подавителей.Этот фильтр захватит все указанные идентификаторы событий, кроме тех, которые соответствуют SECURITY_LOCAL_SYSTEM_RID.

    
  
  
  
  
  
  
  
  
  * [System [(EventID = 4624 или EventID = 4625 или EventID = 4634 или EventID = 4672 или EventID = 4775 или EventID = 4777)]]  
  * [EventData [Data [1] = "S-1-5-18"]]  
  
 ptingicious>  

Вы можете использовать элементы схемы событий в качестве отправной точки для ваших запросов селектора и подавителя.Несколько быстрых советов:

• Вы всегда можете использовать пользовательский интерфейс средства просмотра событий для создания фильтра, затем переключиться в представление XML и посмотреть, как он представлен в XPath.
• Если селектор и подавитель выбирают одно и то же событие, подавитель имеет приоритет.
• WEF поддерживает стандартные концепции XML, такие как или CDATA буквальные текстовые данные.

Пользовательские каналы событий Windows

Как описано в сообщении блога «Создание пользовательских журналов пересылки событий Windows», WEF можно расширить с помощью дополнительных настраиваемых каналов событий.Увеличение количества доступных каналов событий дает несколько основных преимуществ:

• Каждый канал событий может иметь независимый максимальный размер и стратегию ротации.
• Каждый канал событий может использоваться как уникальный идентификатор для маркировки данных для передачи в SIEM.
• Каналы событий могут быть размещены на разных дисках или устройствах хранения для улучшения дискового ввода-вывода.

См. Ниже инструкции по определению и развертыванию настраиваемых каналов событий.

Ниже приводится перечень шагов по установке и настройке для типичного развертывания WEF.

Настройка аудита

Помимо стандартных журналов безопасности, системы и приложений, создаваемых Windows, доступны дополнительные параметры аудита, которые по умолчанию не включены. Эти настройки позволяют Windows генерировать события, которые могут иметь неоценимое значение в ходе расследования. Например, вы можете включить подробный аудит процессов, реестра и файлов среди многих других.

Самый простой способ настроить эти параметры — создать для них объекты групповой политики (GPO).Вы можете подумать о создании отдельных политик для контроллеров домена, серверов и рабочих станций в зависимости от емкости вашего журнала и профиля риска. Рекомендации по аудиту можно найти в Microsoft — Security Auditing.

Настоятельно рекомендуется также учитывать ведение журнала PowerShell и включить ведение журнала блока сценария, модуля и транскрипта.

Развертывание объектов групповой политики

Самый простой способ масштабного управления WEF — создание серии объектов групповой политики, которые будут настраивать подкомпоненты конвейера.Например, в многосайтовой сети вам может потребоваться следующее:

• Workstation Auditing GPO : настраивает все параметры безопасности и ведения журнала PowerShell, соответствующие рабочей станции, регулирует размер журнала событий и стратегию хранения, настраивает правила брандмауэра. , включает WinRM и т. д.
• Аудит рядового сервера GPO : Настраивает все параметры безопасности и ведения журнала PowerShell, соответствующие серверу, регулирует размер журнала событий и стратегию хранения, настраивает правила брандмауэра, включает WinRM и т. д.
• GPO аудита контроллера домена : настраивает все параметры безопасности и ведения журнала PowerShell, соответствующие DC, регулирует размер журнала событий и стратегию хранения, настраивает правила брандмауэра, включает WinRM и т. Д.
• Windows Event Collector GPO : настраивает Серверы WEC для автоматического запуска службы WEC, включения WinRM, настройки правил брандмауэра и т. Д.
• US-WEST WEF Management GPO: Настраивает настройку диспетчера целевой подписки для указания на ваш сервер WEC западного побережья.
• US-EAST WEF Management GPO: Настраивает настройку целевого диспетчера подписок так, чтобы он указывал на ваш сервер WEC на восточном побережье.

Примеры настройки объектов групповой политики можно найти в публикации Microsoft «Использование пересылки событий Windows для помощи в обнаружении вторжений» или в нашем репозитории GitHub.

Определение и развертывание подписок

После настройки параметров аудита для всего парка, следующий шаг — определить, какие из этих журналов вы хотите собирать и централизовать через инфраструктуру WEF.Библиотека WEF от Palantir содержит тщательно подобранную серию подписок, которую вы можете адаптировать или изменить в соответствии с вашими потребностями. Более подробное описание см. Ниже.

Подписки могут быть определены и развернуты из определений XML или могут быть созданы вручную в графическом интерфейсе средства просмотра событий. Чтобы развернуть описания из файлов XML, поместите их все в один каталог и перейдите в этот каталог с помощью PowerShell. Следующий скрипт можно использовать для создания и включения подписок, которые мы предоставляем в этом репо.

ПРИМЕЧАНИЕ: Этот сценарий специально разработан для работы с именами файлов подписки, которые мы предоставляем в нашей библиотеке WEF. Возможно, вам придется изменить его, если имена файлов XML не соответствуют вашим действительным именам Подписки.

 Запись-вывод «Запуск службы сборщика событий Windows» 
 Start-Service wecsvc 
 Set-Service wecsvc -StartupType AutomaticWrite-Output «Создание настраиваемых подписок на события» 
 cd c: \ folder-contain-xml-subscriptions \ 
 cmd / c "для / r% i in (*.xml) do wecutil cs% i "Write-Output" Включение пользовательских подписок на события "
 cmd / c" для / r% i в (* .xml) do wecutil ss% ~ ni / e: true "

Настроить сборщики

После того, как вы определили события, которые хотите собирать с помощью подписок, пора настроить один или несколько серверов для работы в качестве сборщиков событий (также обычно называемых диспетчерами подписок). Это также обычно выполняется с помощью объекта групповой политики, как описано в раздел «Развертывание объектов групповой политики» выше

При настройке серверов WEC вручную важно запустить службу «Сборщик событий Windows» и настроить ее для запуска при загрузке.Вам дополнительно потребуется включить WinRM и разрешить входящее соединение по TCP / 5985 (Kerberos) или TCP / 5986 (HTTPS).

Развертывание каналов

Пользовательские каналы событий не являются обязательными при настройке WEF, но они предоставляют дополнительные преимущества, описанные выше в разделе «Каналы событий Windows». Как правило, этот процесс включает в себя создание файла манифеста и построение на его основе итоговой библиотеки DLL. Подробности см. В разделе «Создание пользовательских журналов пересылки событий Windows». Библиотека WEF от Palantir предоставляет манифест и предварительно скомпилированную DLL.Следующие шаги для развертывания DLL должны быть выполнены в каждом Менеджере подписок:

1. Выгрузите существующий манифест через wevtutil um C: \ windows \ system32 \ CustomEventChannels.man
2. Скопируйте вновь созданный CustomEventChannels.man и CustomEventChannels.dll файлов в c: \ windows \ system32 .
3. Импортируйте новый манифест через wevtutil im C: \ windows \ system32 \ CustomEventChannels.man . Это создает определенные каналы и файлы журналов на серверах WEC.
4. Мы также рекомендуем увеличить размер каждого канала до 4 ГБ:

 $ ​​xml = wevtutil el | select-string -pattern «WEC» 
 foreach ($ subscription в $ xml) {
 wevtutil sl $ subscription / ms: 4194304 
} 

Развертывание ведения журнала стенограммы PowerShell

После того, как у вас появятся работающие серверы WEC, вам следует подумать о том, чтобы превратить их в серверы транскрипции PowerShell двойного назначения. Поскольку ведение журнала транскрипции PowerShell создает файлы через общий ресурс SMB, он не будет использовать собственный конвейер WEF.

Мы можем воспользоваться преимуществами существующей инфраструктуры и упростить агрегирование и сбор данных с помощью общего ресурса SMB, сценария безопасности и дополнительных объектов групповой политики. Обзор того, как это сделать, можно найти в сообщении блога Синяя команда Microsoft.

Extend WEF

После создания конвейера WEF его можно использовать для создания отчетов о пользовательских событиях. Имея твердую уверенность в том, что любое данное событие в конечном итоге будет проиндексировано в SIEM, инструменты безопасности и производительности могут быть развернуты и записаны в единый журнал.Наша библиотека WEF содержит два таких расширения: Autoruns-To-WineventLog и EMETDiag , см. Ниже.

Устранение неполадок

Может быть неприятно поддерживать инфраструктуру ведения журналов только для того, чтобы обнаружить, что она не отправляет ни одного из журналов, которые вы ожидали. Хотя иногда это не совсем интуитивно, есть несколько ключевых инструментов, которые можно использовать для более глубокого понимания того, где существует неисправность.

Начните с обзора необходимых компонентов, описанных в разделе «Обзор WEF» выше. Убедитесь, что все необходимые компоненты существуют в вашей среде и правильно настроены. Если вы находитесь на этапе тестирования, подумайте о том, чтобы установить интервал обновления Менеджера подписок на небольшое значение, например 60 секунд. Это обеспечит своевременную выгрузку журналов от ваших клиентов и сократит время, необходимое для ожидания прибытия журналов. Если вам когда-нибудь понадобится принудительно отправить журналы в диспетчер подписок, запуск gpupdate / force с клиента также приведет к принудительной регистрации.

Кроме того, информацию об ошибках или неправильной конфигурации можно найти в Microsoft-Windows-Eventlog-ForwardingPlugin Event Log Channel на каждом из ваших клиентов. Этот журнал событий полезен для определения, когда ACL неправильно настроены в журналах событий, подписки недействительны или когда каналы регистрации отсутствуют на узле.

В диспетчере подписок средство просмотра событий может помочь вам получить представление о состоянии каждой подписки, щелкнув опцию «Подписки» в левом столбце, выбрав подписку и нажав «Состояние выполнения».

В следующих разделах описывается конфигурация и инструменты, представленные в библиотеке Palantir WEF на GitHub: https://github.com/palantir/windows-event-forwarding/. Важно отметить, что предоставленные подписки и конфигурации не решат все варианты использования безопасности и могут работать не во всех средах. Настоятельно рекомендуется протестировать и настроить конфигурации для каждой организации. Хотя мы сделали все возможное, чтобы найти хороший компромисс между сигналом и шумом, мы очень приветствуем и поощряем участие сообщества в этом проекте, подав запрос на вытягивание или открыв проблему GitHub.

Подписки

В дополнение к нашим собственным определениям, наша библиотека подписок содержит подписки из превосходного репозитория IADGOV по пересылке событий, а также документацию Microsoft. Исчерпывающий список подписок WEF можно найти в проекте GitHub; они охватывают следующие сценарии:

• Управление учетными записями, блокировка, Kerberos и события аутентификации
• События выполнения и завершения процесса
• Модуль Powershell, блок сценария и рабочие события
• События расширенной безопасности (e.грамм. автозапуск, целостность кода, EMET и т. д.)
• События операционной системы (например, установка пакета, загрузка драйвера, события DNS и т. д.)
• Анти-криминалистические события (например, удаление журнала)

Обратите внимание, что наши подписки на WEF предполагают, что вы будут использовать предоставленные каналы событий, см. ниже. Если вы этого не сделаете, вам нужно будет изменить целевой файл журнала в каждой подписке.

Каналы событий

Библиотека Palantir WEF содержит коллекцию настраиваемых каналов событий Windows. Полный список см. В README.Каналы предоставляются в виде стандартного файла манифеста, а также в виде предварительно скомпилированной библиотеки DLL. Если вы похожи на нас и не доверяете случайным библиотекам DLL, смело используйте наш файл манифеста и создайте свою собственную DLL.

Манифест канала событий, представленный в этом проекте, состоит из 16 отдельных провайдеров, каждый из которых имеет 7 каналов. Каналы следуют стандартной схеме именования WEC [#], где номер связан с провайдером.

Autoruns-To-WineventLog

Инструмент Sysinternal Autoruns используется для поиска в различных компонентах операционной системы Windows с целью перечисления областей, которые обычно используются вредоносными программами и инструментами атак для сохранения.Хотя он обычно используется судебно-медицинскими экспертами от случая к случаю, нам нужен постоянный поток этой информации от всего нашего флота. Возможность поиска по недавно полученным индикаторам устойчивости является бесценным набором данных при поиске вредоносных программ.

Для этого мы написали сценарий PowerShell, который мы называем Autoruns-to-Wineventlog. Этот сценарий загружает последнюю версию Autoruns на хост, устанавливает запланированное задание для ежедневного запуска Autoruns, а затем анализирует полученные данные CSV в канале журнала событий Windows «Autoruns».Полученные данные затем загружаются в нашу SIEM через конвейер WEF.

Код для Autoruns-to-Wineventlog служит репрезентативным примером того, насколько легко подключить пользовательские инструменты безопасности к конвейеру WEF.

EMETDiag

Несмотря на то, что она официально закрыта и должна быть заменена на Defender Exploit Guard, Enhanced Mitigation Experience Toolset (EMET) обеспечивает бесценный уровень глубокой защиты от повреждения памяти и других методов эксплойтов.Хотя настройка и использование EMET выходит за рамки данной статьи, бывают случаи, когда приложение может не работать с предлагаемыми механизмами защиты, что приводит к нестабильности и сбоям.

При внутреннем устранении сбоев EMET мы полагаемся на специальный сценарий PowerShell под названием EMETDiag , который можно удаленно отправить через наш пакет управления системами или развернуть вручную. После развертывания он автоматически запрашивает конфигурацию EMET, извлекает самые последние события EMET, сбои приложений и другие связанные данные, а затем суммирует и записывает данные в настраиваемое событие, которое индексируется WEF.

Использование WEF позволяет практически мгновенно создавать, пересылать и индексировать данные, которые можно использовать для устранения неполадок. После индексации в SIEM он доступен для немедленного использования командой разработчиков настольных систем для анализа.

Код для EMETDiag планируется выпустить в проекте GitHub в ближайшем будущем.

Многие публикации с открытым исходным кодом использовались при разработке нашей библиотеки WEF, и мы хотим поблагодарить тех, кто внес свой вклад в эти усилия:

Включить внешнюю пересылку в Microsoft 365