Konfigurowanie polityk audytu - Ręczna konfiguracja

Polityki audytu muszą być skonfigurowane, aby zapewnić logowanie zdarzeń, gdy tylko wystąpi jakakolwiek aktywność.

Konfigurowanie zaawansowanych polityk audytu

Zaawansowane polityki audytu pomagają administratorom w granularnej kontroli nad tym, które aktywności są rejestrowane w logach, co pomaga zredukować hałas zdarzeń. Zaleca się konfigurację zaawansowanych polityk audytu na kontrolerach domeny działających na Windows Server 2008 i nowszych.

• Zaloguj się do dowolnego komputera, który ma Konsolę Zarządzania Zasady Grupy (GPMC), z uprawnieniami administratora domeny → Otwórz GPMC → Kliknij prawym przyciskiem myszy na Polityka Domu Domyślnego → Edytuj.
• W Edytorze Zarządzania Zasadami Grupy → Konfiguracja komputera → Polityki → Ustawienia systemu Windows → Ustawienia zabezpieczeń → Konfiguracja zaawansowanej polityki audytu → Polityka audytu, Kliknij dwukrotnie na odpowiednim ustawieniu polityki.
• Przejdź do prawego panelu → Kliknij prawym przyciskiem myszy na odpowiedniej podkategorii, a następnie kliknij Właściwości → Wybierz Sukces, Niepowodzenie lub oba; zgodnie z opisem w tabeli poniżej.

Kategoria	Podkategoria	Zdarzenia audytu
Logowanie konta	Audyty usługi uwierzytelniania Kerberos	Sukces i Niepowodzenie
Zarządzanie kontem	Audyty zarządzania kontem komputera Audyty zarządzania grupą dystrybucji Audyty zarządzania grupą zabezpieczeń	Sukces
	Audyty zarządzania kontem użytkownika	Sukces i Niepowodzenie
Szczegółowe śledzenie	Audyty tworzenia procesów Audyty kończenia procesów	Sukces
Dostęp do DS	Audyty zmian w usługach katalogowych Audyty dostępu do usług katalogowych	Sukces
Logowanie / Wylogowanie	Audyty logowania Audyty serwera polityki sieciowej	Sukces i Niepowodzenie
	Audyty innych zdarzeń logowania/wylogowania Audyty wylogowania	Sukces
Dostęp do obiektów	Audyty innych zdarzeń dostępu do obiektów	Sukces
Zmiana polityki	Audyty zmiany polityki uwierzytelniania Audyty zmiany polityki autoryzacji	Sukces
System	Audyty zmiany stanu zabezpieczeń	Sukces

Obrazek przedstawiający: kategoria logowania konta → podkategoria audyt usługi uwierzytelniania Kerberos → skonfigurowane są zarówno sukces, jak i niepowodzenie.

Wymuszanie zaawansowanych polityk audytu

Podczas używania zaawansowanych polityk audytu, upewnij się, że są one wymuszane w porównaniu do przestarzałych polityk audytu.

• Zaloguj się do dowolnego komputera, który ma Konsolę Zarządzania Zasadami Grupy (GPMC), używając poświadczeń administratora domeny → Otwórz GPMC → Prawym przyciskiem kliknij na Politykę Kontrolerów Domeny Domyślnej → Edytuj.
• W Edytorze Właściwości Zasad Grupy → Konfiguracja komputera → Polityki → Ustawienia systemu Windows → Ustawienia zabezpieczeń → Polityki lokalne → Opcje zabezpieczeń.
• Przejdź do prawego panelu → Prawym przyciskiem kliknij na Audyt: Wymuś ustawienia podkategori audytu → Właściwości → Włącz.

Konfigurowanie przestarzałych polityk audytu

Opcja konfigurowania zaawansowanych polityk audytu nie jest dostępna w systemie Windows Server 2003 i wcześniejszych. Dlatego dla tych systemów musisz skonfigurować przestarzałe polityki audytu.

• Zaloguj się do dowolnego komputera, który ma Konsolę Zarządzania Zasadami Grupy (GPMC), używając poświadczeń administratora domeny → Otwórz GPMC → Prawym przyciskiem kliknij na Politykę Kontrolerów Domeny Domyślnej → Edytuj.
• W Edytorze Właściwości Zasad Grupy → Konfiguracja komputera → Polityki → Ustawienia systemu Windows → Ustawienia zabezpieczeń → Polityki lokalne → Kliknij dwukrotnie na Politykę audytu.
• Przejdź do prawego panelu → Prawym przyciskiem kliknij na odpowiednią politykę, a następnie kliknij Właściwości → Wybierz Sukces, Niepowodzenie lub oba; jak wskazano w tabeli poniżej -

Kategoria	Wydarzenia audytu
Logowanie konta	Sukces i Niepowodzenie
Audyt logowania / wylogowywania	Sukces i Niepowodzenie
Zarządzanie kontem	Sukces
Dostęp do usługi katalogowej	Sukces
Śledzenie procesu	Sukces
Dostęp do obiektu	Sukces
Wydarzenia systemowe	Sukces

Obrazek przedstawiający: Kategoria wydarzeń logowania audytu konta → Skonfigurowano zarówno Sukces, jak i Niepowodzenie.

Uwaga: Aby włączyć audyt zdarzeń NTLM, zaloguj się do konsoli webowej ADAudit Plus → Kliknij na zakładkę Wsparcie > Pod Informacje o wsparciu, kliknij na Więcej > Pod Konfiguracja, kliknij na Włącz/Wyłącz ustawienia konfiguracji > Włącz audyt NTLM.