# Windows-Sicherheitsereignisprotokoll-Überwachung in Echtzeit

ADAudit Plus ist eine preisgekrönte Überwachungslösung mit zentralisierter Protokollierungsarchitektur, die Microsoft-Windows-Administratoren Anzeige, Überwachung, Archivierung und Echtzeitbenachrichtigungen zu Windows-Sicherheitsprotokollereignissen mit gründlichen Überwachungsberichten ermöglicht. Das Sicherheitsprotokoll enthält Aufzeichnungen zu sicherheitsrelevanten Ereignissen, die von der Überwachungsrichtlinie des Systems vorgegeben werden. Administratoren können versuchte und erfolgreiche nicht autorisierte Aktivitäten erkennen und verfolgen, Probleme somit frühzeitig angehen. Zu in den Sicherheitsprotokollen des Betriebssystems aufgezeichneten Sicherheitsereignissen zählen Authentifizierungsereignisse, Überwachungsereignisse, nicht autorisierte Ereignisse und vieles mehr.

- Überwachen und analysieren Sie Sicherheitsereignisprotokolle hinsichtlich Veränderungen von Windows Active Directory und Servern, verfolgen Sie verdächtige Benutzeraktionen, gewährleisten Sie schnelle Ursachenanalyse im Bedarfsfall.
- Rufen Sie lückenlose Informationen zu AD-Objekten (Benutzern, Gruppen, Gruppenrichtlinienobjekten, Computern, Organisationseinheiten, DNS, AD-Schemata, Konfigurationsänderungen) mit mehr als 200 ausführlichen, ereignisspezifischen grafischen Berichten und E-Mail-Benachrichtigungen in Echtzeit ab.
- Automatisierte Berichte und Datenarchivierung zur IT-Konformität – HIPAA setzt Protokolldaten über 7 Jahre voraus, PCI verlangt nach Protokolldaten über 5 Jahre … Sicherheitsprotokolldaten können für interne Sicherheitsbewertung und zur forensischen Protokollanalyse eingesetzt werden.

## Wozu dient die Überwachung der Windows-Sicherheitsereignisprotokolle?

Administratoren müssen Sicherheitskonformitätsvorgaben wie SOX, PCI-DSS, FISMA, GLBA, HIPAA und dergleichen einhalten, sichere Abläufe zum Schutz vor versuchten oder gar erfolgreichen nicht autorisierten Zugriffen etablieren. Permanente Überwachung klassifizierter Netzwerkdaten steht bei jedem Unternehmen ganz oben auf der Agenda – ganz gleich, ob entsprechende Vorgaben eingehalten werden müssen. Windows-Sicherheitsereignisprotokolle zählen zu den bewährten Quellen, mit denen Anmeldungsversuche verfolgt und protokolliert werden können. Allerdings gestaltet sich die Prüfung sämtlicher einzelner Windows-Geräte als überaus mühsam bis schier unmöglich, vor allem, wenn die Ereignisprotokollüberwachung regelmäßig stattfinden sollte oder muss.

| Kritische Windows-Sicherheitsereignisprotokolle, die überwacht werden müssen |  |
|---|---|
| 4768 / 4771 | Kontoanmeldung erfolgreich/fehlgeschlagen |
| 4624 / 4625 | Lokale Anmeldung erfolgreich/fehlgeschlagen |
| 4647 | Benutzerinitiierte Abmeldung |
| 4778 / 4779 | Terminaldienste-Sitzung erneut verbunden/getrennt |
| 5136 / 5137 | AD-Objektveränderung/-erstellung/-verschiebung |
| 5139 / 5141 | AD-Objekt verschoben/gelöscht |
| 4670 | Berechtigungsänderungen mit alten und neuen Attributen |
| 4663 / 4659, 4660 | Dateizugriff/-löschung |

## Folgende Kategorien der Windows-Server-2008-Sicherheitsprotokollereignissen können protokolliert werden:

Die unermessliche Anzahl protokollierbarer Ereignisse belegt, dass sich die Analyse von Sicherheitsereignisprotokollen als überaus zeitraubende Aufgabe erweisen kann – um es freundlich auszudrücken. Wenn Sie Erfolge oder Fehlschläge überwachen oder bestimmte Ereignistypen komplett ignorieren möchten, müssen Sie in den lokalen Sicherheitseinstellungen eine entsprechende erweiterte Überwachungsrichtlinie definieren. Diese sorgt dafür, dass lediglich die benötigten Sicherheitsprotokolle zur Überwachung gesammelt werden, der Speicherplatz nicht im Handumdrehen mit unerwünschten Protokollen bis zum Platzen gefüllt wird.

Hier ein paar Sicherheitsereignisse, die unbedingt überwacht werden sollten, die Sie in den erweiterten Überwachungsrichtlinieneinstellungen finden: Für Domänencontroller | Für Windows-Dateiserver | Für Windows-Mitgliedsserver | Für Windows-Workstations

| Nachstehend finden Sie die unterschiedlichen erweiterten Überwachungsrichtlinienkategorien |  |
|---|---|
| Kontoanmeldung | Dokumentiert Versuche zum Authentifizieren von Kontodaten auf einem Domänencontroller oder im lokalen Sicherheitskonto-Manager (SAM). |
| Kontoverwaltung | Überwacht Veränderungen von Benutzer- und Computerkonten sowie Gruppen. |
| Detaillierte Überwachung | Überwacht Aktivitäten einzelner Anwendungen und Benutzern eines Computers. |
| Verzeichnisdienstzugriff | Ruft einen detaillierten Überwachungspfad mit Versuchen zum Aufrufen und Verändern von Objekten in Active-Directory-Domänendiensten (AD DS) ab. |
| Anmeldung/Abmeldung | Verfolgt interaktive oder netzwerkbasierte Anmeldungsversuche an einem Computer. Diese Ereignisse erweisen sich insbesondere zur Verfolgung von Benutzeraktivitäten sowie zum Erkennen möglicher Angriffe auf Netzwerkressourcen als nützlich. |
| Objektzugriff | Verfolgt Versuche zum Aufrufen bestimmter Objekte oder Objekttypen im Netzwerk oder auf einem Computer. |
| Richtlinienänderung | Verfolgt Änderungen und Änderungsversuche zu wichtigen Sicherheitsrichtlinien auf lokalen Systemen oder im Netzwerk. |
| Berechtigungsverwendung | Verfolgt Berechtigungen im Netzwerk, die Benutzern oder Computern zum Abschluss definierter Aufgaben gewährt werden. |
| System | Überwacht Computeränderungen auf Systemebene, die nicht in andere Kategorien fallen, bei denen sich jedoch mögliche Sicherheitsauswirkungen ergeben. |
| Globale Objektzugriffsüberwachung | Administratoren können Computersystem-Zugriffskontrolllisten (SACL) pro Objekttyp für Dateisystem oder Registrierung definieren. |

## Other solutions offered by ADAudit Plus

### Active-Directory-Überwachung

Sofortige Berichte und Benachrichtigungen zu Veränderungen von AD-Objekten, einschließlich Benutzern, Gruppen, Organisationseinheiten, Gruppenrichtlinienobjekten und mehr.

### Kontosperrungswerkzeug

Erkennen und untersuchen Sie AD-Kontensperrungen durch schnelle Ursachenerkennung im Handumdrehen.

### Anmeldungsüberwachung

Überwachen und verfolgen Sie erfolgreiche und fehlgeschlagene Anmeldungsversuche in Echtzeit, rufen Sie aufschlussreiche Berichte dazu ab.

### Azure-AD-Überwachung

Überwachen und verfolgen Sie sämtliche Azure-Active-Directory-Anmeldungen und Ereignisse in Cloud- oder Hybridumgebungen.

### Gruppenrichtlinienobjekt-Änderungsüberwachung

Überwachen Sie GRO-Einstellungen per Berichten mit Vorher- und Nachher-Werten – alles in Echtzeit.

### Privilegierte-Benutzer-Überwachung

Überwachen Sie Aktionen von Administratoren, privilegierten Konten und Gruppen mit aufschlussreichen Berichten.

## ADAudit Plus ist in 4 unterschiedlichen Editionen erhältlich

### KOSTENLOS

Ab **$0**

- Läuft nie ab
- 25 Workstations kostenlos
- Berichte können nur aus Ereignisprotokolldaten erzeugt werden, die im Verlauf des Probe-/Lizenzierungszeitraums gesammelt wurden

### PROBEVERSION

Ab **$0**

- Sämtliche Funktionen der Professional-Edition, 30 Tage lang
- **Überwachungsmöglichkeiten:**
  - 5 Domänencontroller
  - 2 Dateiserver
  - 1 NetApp Filer (oder)
  - 1 EMC-Dateiserver
  - 10 Mitgliedsserver
  - 100 Workstations

### STANDARD

Ab **$595**

- Mehr als 200 vorkonfigurierte Überwachungsberichte
- Active-Directory-Überwachung in Echtzeit
- AD-Benutzer, -Gruppen, -Computer, -Organisationseinheiten und -GRO-Veränderungen überwachen
- Workstation-An- und -Abmeldungen überwachen
- Dateierstellungen, -veränderungen, -löschungen, -zugriffe, -berechtigungen
- Systemereignisse, geplante Aufgaben verfolgen
- Drucker- und USB-Überwachung
- E-Mail-Benachrichtigungen und geplante Berichte
- Konformitätsspezifische Berichte
- Datenarchivierung

### PROFESSIONAL

Ab **$945**

- Alle Merkmale der Standard-Edition und
- Überwachen von Gruppenrichtlinienobjekt-Einstellungen
- Alte und neue Werte sämtlicher Attributveränderungen von AD-Objekten
- Überwachen von Active-Directory-Berechtigungsänderungen
- Kontosperrungsanalyse
- DNS-Server-, Schema-, Kontakte- und Konfigurationsüberwachung
- Unterstützung von MSSQL-Server-Datenbanken