Hoe u wijzigingen in groepsbeleid kunt controleren in Active Directory

Stappen om auditing in te schakelen met behulp van de console Groepsbeleidbeheer:

Voer de volgende acties uit op de domeincontroller (DC):

1. Druk op Start, zoek naar en open de console Groepsbeleidbeheer (GPMC) of voer de opdracht gpmc.msc uit.

2. Klik met de rechtermuisknop op het domein of de organisatie-eenheid (OE) die u wilt controleren en klik op Een GPO in dit domein maken en hier koppelen.

Opmerking: Als u al een Groepsbeleidsobject (GPO) hebt gemaakt, klikt u op Een bestaand GPO koppelen.

3. Geef een naam aan het GPO.
4. Klik met de rechtermuisknop op het GPO en kies Bewerken.

5. Ga in de Groepsbeleidsbeheer-editor in het linkerdeelvenster naar Computerconfiguratie > Beleid > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van auditbeleid > Auditbeleid > DS-toegang.

6. In het rechterdeelvenster ziet u een lijst met beleid dat onder DS-toegang valt. Dubbelklik op Active Directory servicewijzigingen en schakel de selectievakjes Configureer de volgende controlegebeurtenissen, Succes en Mislukt in.

7. Klik op Toepassen en dan op OK.
8. Navigeer naar Computerconfiguratie > Beleid > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van auditbeleid > Auditbeleid > Objecttoegang.

9. In het rechterdeelvenster ziet u een lijst met beleid dat onder Objecttoegang valt. Dubbelklik op Bestandssysteem controleren en schakel de selectievakjes Configureer de volgende controlegebeurtenissen, Succes en Mislukt in.

10. Ga terug naar de console Groepsbeleidbeheer en klik in het linkerdeelvenster met de rechtermuisknop op de gewenste OE waarin het GPO is gekoppeld en klik op Groepsbeleid updaten. Deze stap zorgt ervoor dat de nieuwe instellingen voor groepsbeleid direct worden toegepast, zodat u niet hoeft te wachten op de volgende geplande vernieuwing.

Zodra dit beleid is ingeschakeld, worden gebeurtenissen geregistreerd in het beveiligingslogboek van de DC wanneer een groepsbeleidsobject wordt gewijzigd.

Stappen voor het configureren van de controle van groupPolicyContainer-objecten met ADSI bewerken

Voer de volgende acties uit op de domeincontroller:

1. Klik op Start, zoek naar ADSI bewerken, klik er met de rechtermuisknop op en selecteer Uitvoeren als beheerder.

2. Klik in het linkerdeelvenster met de rechtermuisknop op ADSI bewerken en selecteer Verbinden met.

3. Zorg ervoor dat in het nieuwe venster Naam is ingesteld op Standaard naamgevingscontext en dat de domeinnaam die is aangegeven in het Pad het domein is dat u wilt controleren.

4. Klik op OK.
5. Dubbelklik op standaard naamgevingscontext en navigeer naar DC=domain,DC=com > CN=Systeem > CN=Beleid.

6. Klik met de rechtermuisknop op CN=beleid en selecteer Eigenschappen.

7. Ga naar het tabblad Beveiliging en klik op de knop Geavanceerd.

8. Ga naar het tabblad Auditing en klik op de knop Toevoegen.

9. Ga naar Selecteer principal en zoek naar Iedereen en klik op OK.
10. Klik op de vervolgkeuzelijst Type en selecteer Geslaagd. Klik op de vervolgkeuzelijst op Toepassen op en dan op Dit object en alle onderliggende objecten.

11. Scroll naar beneden en vink de vakjes groupPolicyContainer objecten maken en groupPolicyContainer-objecten verwijderen aan, en klik op OK om het venster Auditinvoer te sluiten. Klik op OK om het venster Geavanceerde beveiligingsinstellingen te sluiten. Klik op OK om het venster eigenschappen te sluiten.

U hebt nu het controleren van het maken en verwijderen van groupPolicyContainer-objecten ingeschakeld.

Stappen om de SYSVOL-map te controleren

Alle groepsbeleidsbestanden worden opgeslagen in de map SYSVOL van de domeincontroller. Om wijzigingen in het GPO te controleren, moet u dus deze map controleren. Voer de volgende acties uit op de domeincontroller:

Opmerking: Als u geen toegang hebt tot een DC, opent u de map SYSVOL via het netwerk.

1. Open Windows Verkenner en navigeer naar C: > Windows > SYSVOL > domein.
2. Klik met de rechtermuisknop op de map Beleid en selecteer Eigenschappen.

3. Ga naar het tabblad Beveiliging en klik op de knop Geavanceerd.

4. Selecteer het tabblad Auditing en klik op de knop Toevoegen.

5. Klik op Selecteer principal, zoek naar Iedereen en klik OK.
6. Klik op de vervolgkeuzelijst Type en selecteer Alle. Klik op de vervolgkeuzelijst Toepassen op en selecteer Deze map, submappen en bestanden.
7. Klik op Geavanceerde toestemmingen weergeven en schakel het selectievakje Volledige controle in.

8. Klik op OK.

Stappen om gebeurtenissen met betrekking tot wijzigingen in groepsbeleid te bekijken met Logboeken

Zodra de bovenstaande stappen zijn voltooid, worden wijzigingen die in een GPO worden aangebracht, geregistreerd als gebeurtenissen. Dit kan worden bekeken in Logboeken door de volgende stappen te volgen:

1. Klik op Start, zoek naar Logboekenen klik om het te openen.
2. Navigeer in het venster Logboek in het linkerdeelvenster naar Windows-logboeken > Beveiliging.
3. Hier vindt u een lijst van alle beveiligingsgebeurtenissen die in het systeem zijn geregistreerd.

4. Klik in het rechterdeelvenster onder Beveiliging op Huidig logboek filteren.

5. Voer in het pop-up venster de gewenste Gebeurtenis-ID* in het veld (alle Gebeurtenis-ID's).

De volgende gebeurtenis-ID's worden gegenereerd voor de opgegeven gebeurtenissen:

6. Klik op OK. Hiermee krijgt u een lijst met alle gevallen waarin de opgegeven gebeurtenis-ID is opgetreden.
7. Dubbelklik op een gebeurtenis-ID om de eigenschappen (beschrijving) ervan te bekijken.

Gebeurtenis 5137 wordt geregistreerd wanneer een groepsbeleidsobject wordt gemaakt. De volgende gegevens worden onder andere geregistreerd in de eigenschappen van de gebeurtenis:

• De onderscheidende naam van het object dat is gewijzigd.
• De SID en naam van het account dat de bewerking heeft aangevraagd.
• Het objectkenmerk dat is gewijzigd.
• Het type bewerking dat op het GPO is uitgevoerd, d.w.z. of er een waarde aan het GPO is toegevoegd of verwijderd.

Beperkingen van systeemeigen auditing:

• Om kritieke gebeurtenissen bij te houden, zou een beheerder naar elke gebeurtenis-ID moeten zoeken en de eigenschappen ervan moeten bekijken. Dit is zelfs voor een kleine organisatie zeer onpraktisch.
• Het inzicht dat systeemeigen auditing biedt, is onvoldoende. Zelfs als de beheerder de gebeurtenissen bijhoudt, kan deze nog steeds niet weten of een wijziging een teken is van atypisch gebruikersgedrag.
• De hierboven aangegeven gebeurtenissen tonen alleen de naam van het GPO en niet de oude en nieuwe waarden van het gewijzigde GPO.
• Een wijziging in het groepsbeleid kan worden uitgevoerd vanaf elke DC in het domein. Een beheerder zou gebeurtenissen op elke DC moeten controleren, wat een buitensporige hoeveelheid werk is. Een gecentraliseerd hulpprogramma om gebeurtenissen van alle datacenters te controleren zou het werk enorm verminderen.