Folgende Kategorien der Windows-Server-2008-Sicherheitsprotokollereignissen können protokolliert werden:
Die unermessliche Anzahl protokollierbarer Ereignisse belegt, dass sich die Analyse von Sicherheitsereignisprotokollen als überaus zeitraubende Aufgabe erweisen kann – um es freundlich auszudrücken. Wenn Sie Erfolge oder Fehlschläge überwachen oder bestimmte Ereignistypen komplett ignorieren möchten, müssen Sie in den lokalen Sicherheitseinstellungen eine entsprechende erweiterte Überwachungsrichtlinie definieren. Diese sorgt dafür, dass lediglich die benötigten Sicherheitsprotokolle zur Überwachung gesammelt werden, der Speicherplatz nicht im Handumdrehen mit unerwünschten Protokollen bis zum Platzen gefüllt wird.
Hier ein paar Sicherheitsereignisse, die unbedingt überwacht werden sollten, die Sie in den erweiterten Überwachungsrichtlinieneinstellungen finden: Für Domänencontroller | Für Windows-Dateiserver | Für Windows-Mitgliedsserver | Für Windows-Workstations
| Nachstehend finden Sie die unterschiedlichen erweiterten Überwachungsrichtlinienkategorien | |
| Kontoanmeldung | Dokumentiert Versuche zum Authentifizieren von Kontodaten auf einem Domänencontroller oder im lokalen Sicherheitskonto-Manager (SAM). |
| Kontoverwaltung | Überwacht Veränderungen von Benutzer- und Computerkonten sowie Gruppen. |
| Detaillierte Überwachung | Überwacht Aktivitäten einzelner Anwendungen und Benutzern eines Computers. |
| Verzeichnisdienstzugriff | Ruft einen detaillierten Überwachungspfad mit Versuchen zum Aufrufen und Verändern von Objekten in Active-Directory-Domänendiensten (AD DS) ab. |
| Anmeldung/Abmeldung | Verfolgt interaktive oder netzwerkbasierte Anmeldungsversuche an einem Computer. Diese Ereignisse erweisen sich insbesondere zur Verfolgung von Benutzeraktivitäten sowie zum Erkennen möglicher Angriffe auf Netzwerkressourcen als nützlich. |
| Objektzugriff | Verfolgt Versuche zum Aufrufen bestimmter Objekte oder Objekttypen im Netzwerk oder auf einem Computer. |
| Richtlinienänderung | Verfolgt Änderungen und Änderungsversuche zu wichtigen Sicherheitsrichtlinien auf lokalen Systemen oder im Netzwerk. |
| Berechtigungsverwendung | Verfolgt Berechtigungen im Netzwerk, die Benutzern oder Computern zum Abschluss definierter Aufgaben gewährt werden. |
| System | Überwacht Computeränderungen auf Systemebene, die nicht in andere Kategorien fallen, bei denen sich jedoch mögliche Sicherheitsauswirkungen ergeben. |
| Globale Objektzugriffsüberwachung | Administratoren können Computersystem-Zugriffskontrolllisten (SACL) pro Objekttyp für Dateisystem oder Registrierung definieren. |