Las categorías de eventos del log de seguridad de Windows Server 2008 que se pueden registrar son
Dado el número inconmensurable de eventos registrables, analizar el log de eventos de seguridad puede ser una tarea que consume mucho tiempo. Si desea auditar eventos exitosos, auditar eventos fallidos, o no auditar este tipo de evento en absoluto, es necesario definir la política de auditoría avanzada requerida en la configuración de seguridad local, asegurando que solo se recopilan los logs de seguridad necesarios para la auditoría, garantizando que el espacio en disco no se llene rápidamente con logs no deseados.
Estos son los eventos de seguridad recomendados que se deben auditar, que se encuentran en la configuración de política de auditoría avanzada: Para controladores de dominio | Para servidores de archivos Windows | Para servidores miembros Windows | Para estaciones de trabajo Windows.
| A continuación se enumeran las distintas categorías de la política de auditoría avanzada | |
| Inicio de sesión en la cuenta | Documente los intentos de autenticar los datos de la cuenta en un controlador de dominio o en un gestor de cuentas de seguridad (SAM) local. |
| Gestión de cuentas | Monitoree los cambios en las cuentas y grupos de usuarios y equipos. |
| Seguimiento detallado | Monitoree las actividades de aplicaciones y usuarios individuales en ese equipo. |
| Acceso a servicios de directorio | Vea una pista de auditoría detallada de los intentos de acceder y modificar objetos en servicios de dominio de Active Directory (AD DS). |
| Inicio de sesión/ cierre de sesión | Realice un seguimiento de los intentos de inicio de sesión en un equipo de forma interactiva o a través de una red. Estos eventos son particularmente útiles para controlar la actividad del usuario e identificar posibles ataques a los recursos de la red. |
| Acceso a objetos | Realice un seguimiento de los intentos de acceder a objetos específicos o tipos de objetos en una red o equipo. |
| Cambio de política | Realice un seguimiento de los cambios e intentos de cambiar las políticas de seguridad importantes en un sistema o red local. |
| Uso de privilegios | Realice un seguimiento de los permisos otorgados en una red para que los usuarios o los equipos completen las tareas definidas. |
| Sistema | Monitoree los cambios a nivel de sistema en un equipo que no se incluyen en otras categorías y que tienen posibles implicaciones de seguridad. |
| Auditoría de acceso a objetos globales | Los administradores pueden definir listas de control de acceso al sistema (SACL) por tipo de objeto para el sistema de archivos o para el registro. |