Native Überwachung:
Active-Directory-Ereignisprotokolle lassen sich mit der Ereignisanzeige anzeigen, einem nativen Werkzeug, das von Microsoft zur Verfügung gestellt wird. Allerdings muss dazu zunächst die Auditrichtlinie Ihrer Domäne eingeschaltet werden.
- Schritt 1: Dies erledigen Sie über Ihre Gruppenrichtlinienmanagement-Konsole → Domänenrichtlinie → Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Auditrichtlinien-/Erweiterte Auditrichtlinienkonfiguration.
- Schritt 2: Wählen Sie die Ereignisse zum Auditing.
- Schritt 3: Ab jetzt können Sie AD-Ereignisprotokolle hier abrufen: Verwaltung → Ereignisanzeige
- Schritt 4: Wählen Sie die AD-Auditprotokolltypen zum Anzeigen (Beispiel: Applikation, System etc.).
Sie können diese Protokolle so filtern, dass nur die gewünschten Daten angezeigt werden.
Leider ist die Protokollspeicherkapazität der Ereignisanzeiger auf 4 GB begrenzt, Protokolle werden bei Bedarf überschrieben. Obendrein präsentieren sich diese Protokolle sehr unaufgeräumt, daher ist es recht schwierig, ein klares Bild der Ereignisse in der Domäne zu erhalten. Aufgrund dieser Einschränkungen eignet sich die Ereignisanzeiger nicht wirklich perfekt als Auditingwerkzeug für Active Directory.
Active-Directory-Sicherheitsprotokolle mit ADAudit Plus anzeigen
Mit ADAudit Plus können Sie AD-Ereignisprotokolle in Form sauberer, kategorisierter Berichte darstellen. So können Sie sich endloses Durchblättern gewaltiger Sicherheitsprotokolle, stundenlanges Ausfiltern von Ereignissen sowie Überschreiben von Ereignissen wegen begrenztem Speicherplatz ersparen. ADAudit Plus erledigt die gesamte Arbeit für Sie. Hier ein Beispielbericht zu Gruppenänderungsereignissen.
ADAudit Plus ermöglicht Ihnen Exportieren dieser Protokolle zu beliebigen SIEM-Werkzeugen, sogar Importieren von EVT/EVTX-Protokollen aus externen Quellen. Diese Berichte können Sie als CSV-, PDF-, XLS- oder HTML-Dateien exportieren, sich zu Zeitpunkten Ihrer Wahl zusenden lassen. Die Berichte können lokal archiviert und gespeichert werden; daher müssen sich Administratoren keine Gedanken um Speicherplatzbeschränkungen machen, wie es bei nativen Werkzeugen der Fall ist.
So können Sie auch Protokollierungen lange vergangener Ereignisse so lange archivieren, wie es für Forensik und Konformität erforderlich ist. Das Alarmierungsmodul von ADAudit Plus informiert Sie in Echtzeit über sämtliche kritischen Ereignisse.
ADAudit Plus liefert Echtzeitauditberichte zu folgenden Zwecken:
- Nutzeranmeldung-Audit
- Dateiserver-Audit
- AD-Objekte-Audit
- Windows-Server-Audit
- Wechseldatenträger-Audit
Und mehr!
Ihre AD-Protokolle werden zusätzlich in vorkonfigurierte Konformitätsberichte umgesetzt, die Sie beim Einhalten von branchen- oder staatlichen Vorgaben unterstützen.
Erfahren Sie mehr dazu wie Sie ADAudit Plus beim Auditing Ihres Active-Directory-Systems unterstützt.