Контрольный список аудита Active Directory
Для правильного аудита Active Directory необходимо включить правильные настройки политики. Эти настройки политики обеспечивают ведение журналов безопасности вашими контроллерами домена, что соответствует вашим требованиям по соблюдению правил и аудиту.
Проблема в том, что существует много настроек политики аудита, из которых можно выбрать, что может быть подавляющим и оставить пробелы в ваших потребностях в аудите.
Я создал простой контрольный список аудита Active Directory, который вы можете скачать и использовать в качестве быстрого справочника. Этот контрольный список покажет вам, какие настройки аудита необходимо включить и какие параметры политики использовать. Эти настройки взяты из контрольного списка безопасности Microsoft. При использовании инструмента аудита Active Directory эти параметры политики будут необходимы, чтобы ваши контроллеры домена могли генерировать журналы для анализа инструментом.
Контрольный список политики аудита Active Directory
Чек-лист бесплатной политики аудита.
Active Directory Pro создал справочник по контрольному списку политики аудита.
Этот бесплатный PDF-файл может быть использован в качестве справочного руководства, которое показывает рекомендуемые настройки политики аудита для Active Directory. Эти настройки основаны на рекомендациях по безопасности от Microsoft.
Скачать PDF контрольный список
Настройки политики аудита в этом руководстве необходимо настроить в GPO Политики контроллеров домена по умолчанию.
Местоположение политики:
Конфигурация компьютера -> Политики -> Настройки Windows -> Настройки безопасности -> Конфигурация расширенной политики аудита
Ниже приведены рекомендуемые настройки для конфигурации политики аудитирования.
✔️Вход в учетную запись
| Имя | Настройки политики | Описание |
|---|---|---|
| Аудит проверки учетных данных | Неудача | Эта настройка политики позволяет аудитировать события, создаваемые тестами валидации учетных данных для входа пользователей. |
| Аудит служб аутентификации Kerberos | Неудача | Эта настройка политики позволяет вам проводить аудит событий, генерируемых запросами на получение билета доступа Kerberos (TGT). |
| Аудит операций с билетами обслуживания Kerberos | Успех и провал | Эта настройка политики позволяет вам проводить аудит событий, сгенерированных запросами на получение билета на доступ к Kerberos (TGT), поданными для учетных записей пользователей. |
✔️Управление учетной записью
| Имя | Настройки политики | Описание |
|---|---|---|
| Аудит управления учетными записями компьютеров | Успех | Эта настройка политики позволяет вам проводить аудит событий, сгенерированных изменениями учетных записей компьютеров, таких как создание, изменение или удаление учетной записи компьютера. |
| Аудит других событий управления учетными записями | Успех | Это настройка политики позволяет вам проводить аудит событий, сгенерированных изменениями других учетных записей пользователей, которые не охватываются этой категорией, такими как следующие: |
| Аудит управления группами безопасности | Успех | Эта настройка политики позволяет аудитировать события, создаваемые изменениями в группах безопасности, такие как следующие: |
| Аудит управления учетными записями пользователей | Успех и провал | Эта настройка политики позволяет вам проверять изменения учетных записей пользователей. |
✔️Подробное отслеживание
| Имя | Настройки политики | Описание |
|---|---|---|
| Аудит деятельности ПНП | Успех | Настройка этой политики позволяет вам проводить аудит, когда Plug and Play обнаруживает внешнее устройство. |
| Создание аудиторского процесса | Успех | Эта настройка политики позволяет вам аудитировать события, возникающие при создании или запуске процесса. Также аудитируется имя приложения или пользователя, который создал процесс. |
✔️DS Access
| Имя | Настройки политики | Описание |
|---|---|---|
| Аудит доступа к службе каталогов | Неудача | Эта настройка политики позволяет вам регистрировать события, возникающие при обращении к объекту службы доменов Active Directory (AD DS). |
| Аудит изменений в службах каталогов | Успех | Эта настройка политики позволяет вам аудировать события, генерируемые изменениями объектов в службах домена Active Directory (AD DS). События регистрируются, когда объект создается, удаляется, изменяется, перемещается или восстанавливается. |
✔️Вход/Выход
| Имя | Установка политики | Описание |
|---|---|---|
| Аудит блокировки учетной записи | Неудача | Эта настройка политики позволяет вам проводить аудит событий, сгенерированных неудачной попыткой входа в учетную запись, которая заблокирована. |
| Аудит членства в группе | Успех | Эта политика позволяет вам проверять информацию о членстве в группе в токене входа пользователя. |
| Журнал аудита входа | Успех и провал | Эта настройка политики позволяет аудитировать события, создаваемые попытками входа в систему учетной записи пользователя на компьютере. |
| Аудит других событий входа/выхода из системы | Успех и провал | Эта настройка политики позволяет вам аудитировать другие события, связанные с входом/выходом, которые не охвачены в "Вход/Выход". |
| Аудит специального входа | Успех | Настройка этой политики позволяет вам аудитировать события, генерируемые специальными входами, такими как входы с привилегиями, эквивалентными администраторам. |
✔️Доступ к объекту
| Имя | Настройки политики | Описание |
|---|---|---|
| Аудит детализированного общего доступа к файлам | Неудача | Этот параметр политики позволяет вам вести аудит попыток доступа к файлам и папкам в общей папке. |
| Аудит файлового общего доступа | Успех и провал | Эта настройка политики позволяет вам вести аудит попыток доступа к общему каталогу. |
| Аудит других событий доступа к объектам | Успех и провал | Настройка этой политики позволяет вам проводить аудит событий, генерируемых управлением заданиями планировщика задач или объектами COM+. |
| Аудит съемного хранилища | Успех и провал | Эта настройка политики позволяет вам проводить аудит попыток пользователей получить доступ к объектам файловой системы на съемном носителе. Событие аудита безопасности генерируется только для всех объектов для всех типов запрашиваемого доступа. |
✔️Изменение политики
| Имя | Настройки политики | Описание |
|---|---|---|
| Изменение политики аудита | Успех | Этот параметр политики позволяет вам вести аудит изменений в параметрах политики аудита безопасности. |
| Аудит изменений политики аутентификации | Успех | Этот параметр политики позволяет вам вести аудит событий, вызванных изменениями в политике аутентификации. |
| Аудит изменения политики уровня правил MPSSVC | Успех и провал | Настройка этой политики позволяет вам проводить аудит событий, созданных изменениями в правилах политики, используемых службой защиты Microsoft (MPSSVC) |
| Аудит других изменений политик | Неудача | Эта настройка политики позволяет вам проводить аудит событий, вызванных другими изменениями политики безопасности, которые не подлежат аудиту в категории изменений политики. |
✔️Привилегированное использование
| Имя | Установка политики | Описание |
|---|---|---|
| Аудит чувствительного использования привилегий | Успех и провал | Эта настройка политики позволяет аудитировать события, генерируемые при использовании чувствительных привилегий (прав пользователей). |
✔️Система
| Имя | Настройки политики | Описание |
|---|---|---|
| Аудит других системных событий | Успех и провал | Эта настройка политики позволяет вам проводить аудит событий системы, таких как запуск и завершение работы брандмауэра Windows. |
| Аудит изменений состояния безопасности | Успех | Эта настройка политики позволяет вам проводить аудит событий системы, таких как запуск и завершение работы брандмауэра Windows. |
| Аудит расширения системы безопасности | Успех | Этот параметр политики позволяет вам вести аудит событий, связанных с расширениями системы безопасности или службами. |
| Аудит целостности системы | Успех и провал | Настройка этой политики позволяет вам проводить аудит событий, которые нарушают целостность подсистемы безопасности. |
Когда у вас включены эти настройки политики аудита Windows, журналы Active Directory будут создаваться на ваших контроллерах домена. Эти журналы можно просмотреть с помощью средства просмотра событий Windows, но рекомендуется использовать инструмент для аудита для их анализа. Используя предоставленный контрольный список политики аудита, вы можете убедиться, что у вас включены настройки политики для выполнения аудита на вашем контроллере домена.