Audit-Richtlinien konfigurieren – manuelle Konfiguration

1. Erweiterte Überwachungsrichtlinien konfigurieren

Erweiterte Überwachungsrichtlinien helfen Administratoren, fein abgestimmt die Kontrolle darüber zu übernehmen, welche Aktivitäten in den Protokollen aufgezeichnet werden, damit Ereignisse nicht zur Flut werden. Wir empfehlen, erweiterte Überwachungsrichtlinien auf Domänencontrollern unter Windows ab Server 2008 zu konfigurieren.

• Melden Sie sich an einem beliebigen Computer mit Gruppenrichtlinien-Verwaltungskonsole (GPMC) an. Dann: GPMC öffnen → Rechtsklick auf Standard-Domänencontroller-Richtlinie → Bearbeiten.
• Doppelklicken Sie unter Gruppenrichtlinienverwaltung-Editor → Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Erweiterte Überwachungsrichtlinienkonfiguration → Überwachungsrichtlinien auf die jeweilige Richtlinieneinstellung.
• Wechseln Sie zum rechten Bereich → rechtsklicken Sie auf die relevante Unterkategorie, danach auf Eigenschaften → Erfolg, Fehler oder beides. Orientieren Sie sich an der nachstehenden Tabelle.

2. Erweiterte Überwachungsrichtlinien erzwingen

Wenn Sie erweiterte Überwachungsrichtlinien verwenden, sorgen Sie dafür, dass diese zwingend Vorrang vor älteren Überwachungsrichtlinien genießen.

• Melden Sie sich an einem beliebigen Computer mit Gruppenrichtlinien-Verwaltungskonsole (GPMC) an. Dann: GPMC öffnen → Rechtsklick auf Standard-Domänencontroller-Richtlinie → Bearbeiten.
• Im Gruppenrichtlinienverwaltung-Editor: Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Sicherheitsoptionen.
• Wechseln Sie zum rechten Bereich → Rechtsklick auf Überwachung: Unterkategorieeinstellungen der Überwachungsrichtlinie erzwingen → Eigenschaften → Aktivieren.

3. Ältere Überwachungsrichtlinien konfigurieren

Die Option zur Konfiguration erweiterter Überwachungsrichtlinien ist bis Windows Server 2003 nicht verfügbar. Daher müssen Sie bei solchen Systemen die älteren (Legacy-) Überwachungsrichtlinien konfigurieren.

• Melden Sie sich an einem beliebigen Computer mit Gruppenrichtlinien-Verwaltungskonsole (GPMC) an. Dann: GPMC öffnen → Rechtsklick auf Standard-Domänencontroller-Richtlinie → Bearbeiten.
• Im Gruppenrichtlinienverwaltung-Editor: Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Doppelklick auf Überwachungsrichtlinie.
• Wechseln Sie zum rechten Bereich → rechtsklicken Sie auf die relevante Richtlinie, danach auf Eigenschaften → Erfolg, Fehler oder beides. Orientieren Sie sich an der nachstehenden Tabelle:

Hinweis: Zum Aktivieren der Überwachung von NTLM-Ereignissen melden Sie sich an der ADAudit-Plus-Webkonsole an. Klicken Sie auf die Registerkarte Kundendienst → klicken Sie unter Kundendienstinformationen auf Mehr → klicken Sie unter Konfiguration auf Konfigurationseinstellungen aktivieren/deaktivieren → aktivieren Sie NTLM-Überwachung.