Аудит среды.

Аудит среды.

Аудит представляет собой способ сбора информации и мониторинга активности сети, устройств и целых систем. Некоторые виды аудита, например, могут быть разрешены по умолчанию, но множество других функций аудита обычно должно быть включено вручную. Это обеспечивает легкую настройку возможностей мониторинга системы.

Аудит обычно применяется для определения брешей в безопасности или подозри­тельных действий. Однако аудит также важен и для обретения понимания, как про­исходит доступ к сети, сетевым устройствам и системам. Аудит может применяться для мониторинга успешных и неудачных событий в системе. Политики аудита обычно должны быть включены до начала мониторинга активности.

Политики аудита являются основой аудита событий начиная с Windows 2008. В за­висимости от установленных политик аудит может потребовать существенного объе­ма ресурсов сервера, не считая тех ресурсов, которые нужны для функционирования сервера. В противном случае это потенциально снизит производительность сервера. Кроме того, сбор большого количества информации годится только в контексте оцен­ки журналов аудита. Другими словами, если записывается большое количество инфор­мации и для оценки этих журналов аудита требуются значительные усилия, то основ­ная цель аудита выбрана неэффективно. Поэтому важно затратить некоторое время на правильное планирование аудита системы. Тогда администратор сможет определить, для чего и зачем необходимо выполнять аудит, не создавая при этом больших дополнительных затрат.

Политики аудита могут отслеживать возникновение успешных и неудачных собы­тий в среде Windows - то есть успешное или неудачное завершение событий. Ниже перечислены типы событий, для которых возможен такой мониторинг.

-         Аудит входа в систему. В журнал могут заноситься входы через сеть или с по­мощью служб.

-         Аудит доступа к объектам. Политика доступа к объектам записывает в журнал события при попытке доступа пользователя к какому-либо ресурсу (например, к принтеру или совместно используемой папке).

-         Аудит доступа к службе каталогов. При каждой попытке доступа пользователя к объекту Active Directory, который имеет свой собственный системный список контроля доступа (System Access Control List — SACL), в журнале фиксируется со­ответствующее событие.

-         Аудит изменения политики. При каждой попытке изменения политики (права пользователей, политики аудита учетных записей, политики доверительных от­ношений) записывается событие.

-         Аудит использования привилегий. Привилегированное использова­ние является параметром безопасности и может включать применение пользо­вателем своих прав, изменение системного времени и тому подобное. В журнал могут записываться успешные или неудачные попытки.

-         Аудит отслеживания процессов. Для каждой программы или процесса, запускаемо­го пользователем при доступе к системе, могут записываться события. Эта информа­ция может быть очень подробной и требует значительного объема ресурсов.

-         Аудит системных событий. Политика системных событий записывает в журнал ука­занные системные события, например, перезапуск или выключение компьютера.

-         Аудит событий входа в систему. При каждой попыт­ке входа пользователя может записываться успешное или неудачное событие. Неудачные попытки входа могут указывать на неудачи при входе для неизвестных пользовательских учетных записей, нарушения ограничения времени, просрочен­ные учетные записи, недостаточные права для локального входа пользователя, просроченные пароли учетных записей и заблокированные учетные записи.

-         Аудит управления учетными записями. При изменении учетных записей в жур­нал могут записываться события, доступные для последующего просмотра.

Политики аудита могут быть включены или отключены с помощью либо политики локальной системы, либо политики безопасности контроллера домена, либо объектов групповых политик.