Domů

Windows2000

Audit

• Auditování je možnost sledování úspěšných a neúspěšných činností v systému týkající se zabezpečení a jednotlivých uživatelů. Sledováním těchto činností lze analyzovat slabá místa v systému, způsob a rozsah možného útoku nebo třeba jen některé statistické údaje jako je přihlášení uživatelů a využití tiskárny.

• Samotné auditování nezajistí bezpečnost sítě, ale umožní nastavit sledování činností s bezpečností související. Prováděné činnosti jsou zapisovány do protokolu zabezpečení, který si může administrátor prohlédnout prohlížečem událostí.

• Výchozí nastavení je vypnuté auditování. Aktivace se provádí v závislosti na typu OS a roli počítače v doméně. V případě, že počítač není v doméně, je vhodné použít administrativní nástroj "Místní zásady zabezpečení". U počítačů v doméně jsou místní zásady ve většině případů přepsány zásadami domény, u řadičů domény je nutné použít "Zásady řadičů domény."

Nastavení Politiky Auditování (Audit Policy)

Základní rozdělení je na úspěšné a neúspěšné pokusy

• Úspěšné pokusy označují úspěšné přihlášení nebo využití oprávnění, neúspěšné označují selhání v přihlášení a nedostatečné oprávnění (neoprávněný přístup).

1. Administrátorský nástroj "Místní zásady zabezpečení" z nabídky Start a

 volba Místní zásady / Zásady auditu 

• Místní a platné nastavení zásad je důležité pro počítače v doméně. Pokud po restartu počítače jsou platné a místní zásady odlišné, jsou pravděpodobně uplatňovány zásady domény s odlišným nastavením.

nebo

2. Spusťte konzolu MMC a přidejte snap-in Zásady skupiny

Konfigurace počítače - Nastavení systému Windows - Nastavení zabezpečení -

Místní zásady - Zásady auditu

nebo

  3. Předchozí dva způsoby jsou vhodné pouze pro samostatné členské servery nebo samostatné počítače s Windows 2000 Professional (XP Professional). Pro administraci v rámci domény a řadičů domény zvolte administrativní nástroje "Zásady zabezpečení domény", popř. "Zásady zabezpečení řadičů domény". Tímto nastavíte vlastnosti auditu pro více počítačů.

Úspěšné a neúspěšné pokusy, Zásady auditu

• Auditovat používání privilegií (Audit privilege use) - Použití privilegií. Privilegia jsou zvláštní uživatelská oprávnění, která mohou mít větší význam než běžná přístupová práva.. (např. SeTakeOwnershipPrivilege signalizuje převzetí vlastnictví, SeSystemtimePrivilege označuje změnu systémového času,....).

• Auditovat přístup k adresářové službě (Audit directory service access ) - Auditování přístupu k objektům v Active Directory. Další nastavení a druhy auditu adresářové služby je možné specifikovat na jednotlivých objektech (stejně jako u tiskáren a souborů).

• Auditovat přístup k objektům (Audit object access) - Sledování přístupů uživatelů k jednotlivým objektům v počítači. Podrobnosti sledování se určují na jednotlivých objektech. U souborů lze např. nastavit audit pro sledování ve změnách v souborech,  změny v oprávnění, nebo při smazání souboru. Přístup k tiskárně slouží především pro úspěšný a neúspěšný tisk.....

• Auditovat sledování procesů (Audit process tracking) - Ohlašuje zahájení a ukončení procesů. Vhodné pravděpodobně pouze pro vývojáře a velmi vysoké zabezpečení.

• Auditovat správu účtů (Audit account management) - Sledování změn ve správě uživatelů, sleduje vytváření nebo rušení uživatelů a skupin, změna hesel.....

• Auditovat systémové události (Audit system events) - Sledování systémových událostí (Smazání protokolu zabezpečení, Start systému Windows,....)

• Auditovat události přihlášení - (Audit logon events - logon / logoff) - Sledovat požadavky k přihlášení a odhlášení uživatelů k počítači. Sledování přihlášení k síti a síťovým prostředkům.

• Auditovat události přihlášení k účtu (Audit account logon events - Account logon) - Sledování požadavků na přihlášení (ověření uživatele) z jiných počítačů.

• Auditovat změny zásad (Audit policy change) - Sledování změn ve změně nastavení zásad auditu.

• Ještě před nastavením je důležité si uvědomit několik důležitých aspektů:

Velikost protokolu zabezpečení není neomezená

Při nastavení velkého počtu druhů auditování je protokol velmi rychle naplněn a špatně se v něm orientuje.

Čím více zbytečného nastavení u auditu povolíte, tím více plýtváte výkonem počítače, u nastavení auditování všech událostí může být pokles výkonu znatelný.

Nastavení auditu na objektech

1.Složky a Soubory

• Nastavení auditu je možné pouze na discích s NTFS!

• Nastavení auditu na souborech ve složkách:

• Vyvoláme vlastnosti objektů - zvolíme kartu zabezpečení - tlačítko upřesnit - přidat uživatele, pro které chceme auditování uplatňovat  - nejčastější volba je Everyone, tedy všichni uživatelé. Vyjímečně se nastavuje některá jiná skupina nebo jednotliví uživatelé.

• Volby k zaškrtnutí jsou stejné jako u nastavování oprávnění k NTFS.

• V zásadách zabezpečení musí být nastaven audit pro přístup k objektům!

• Auditování je určeno pro citlivá data, doporučením není auditovat přístup k celým diskům, počet záznamů je pak velmi vysoký a zálohování protokolů se může stát obtížným na kapacitu i čas.

2. Tiskárny

• Podobná funkce jako u souborů a složek, auditování lze nastavit pod kartou "Zabezpečení". Pro jednotlivá oprávnění se nastavuje sledování úspěšného nebo neúspěšného použití oprávnění.

3. Objekty Active Directory

• Aktivní adresář obsahuje velké množství objektů, u mnoha z nich jsou některé druhy auditu již nastaveny, ale v mnoha případech je nutné toto nastavení zkontrolovat a případně změnit.

Poznámky

• Pokud nejste administrátor a chcete administrovat protokol zabezpečení, potřebujete mít přidělené právo "Spravovat protokol auditu a bezpečnosti"

• Součástí bezpečnostní politiky většiny důležitých firem je podmínka archivace bezpečnostního protokolu událostí.

• Prohlížeč událostí a volba "Nepřepisovat události" - Události nebudou přepisovány a při zobrazení upozornění je administrátor povinen obsah protokolu smazat. Při dosažení maximální hranice nebudou zapisována nová data. V kombinaci s tímto nastavením je možné aktivovat funkci vypnutí počítače při zaplnění protokolu zabezpečení - HKLM\System\CurrentControlSet\Control\Lsa - vytvořit nebo změnit klíč crashonauditfail typu REG_DWORD na 1 . Je nutné si uvědomit, že při nastavení této funkce bude počítač při dosažení maximální hranice okamžitě vypnut - žádné ukončování služeb, ani pokyn k vypnutí počítače, ale okamžité vypnutí, které je podobné vytažení počítače z elektrické sítě.  V případě, že k vypnutí dojde, je při dalším vypnutí funkce deaktivována a je nutné ji znovu nastavit.

• Stejná funkce s grafickým rozhraním: Místní nastavení zabezpečení - Místní zásady - Možnosti zabezpečení - Není-li možno protokolovat auditování zabezpečení, vypnout okamžitě systém  (Local Security Policy - Security Settings - Local Policies - Security Options - Shut down system immediately if unable to log security audits)

• Politika není uplatněna do restartu počítače.

Příklad výpisu události při auditu

Typ události: Auditovat neúspěšné provedení operací
Zdroj události: Security
Kategorie události: Přihlášení či odhlášení 
ID události: 529
Datum: 4.9.2001
Čas: 23:54:21
Uživatel: NT AUTHORITY\SYSTEM
Počítač: ALFA2
Popis:
Chyba při přihlášení:
Příčina: Neznámé uživatelské jméno nebo chybné heslo.
Uživatelské jméno: administrator
Doména: ALFA2
Typ přihlášení: 2
Přihlašovací proces: User32 
Ověřovací balíček: Negotiate
Název pracovní stanice: ALFA2 

Příbuzné odkazy

Seznam Odkazů»

Tisk Verze pro tisk | Doporučit Poslat odkaz přes email