Kas yra audito sėkmė arba audito nesėkmė įvykių peržiūros priemonėje

Kalbant apie įvykių peržiūros priemonę, audito rezultatai gali būti dviejų tipų – sėkmės arba nesėkmės. Bet ką kiekvienas iš jų reiškia? Čia yra greitas kiekvieno iš jų paaiškinimas.

Audito sėkmė

Audito sėkmė reiškia, kad audituojamas veiksmas buvo sėkmingai atliktas. Tai gali būti kažkas panašaus į vartotojo prisijungimą prie sistemos arba vykdomą procesą. Iš esmės viskas, ką sukonfigūravote įvykių peržiūros programoje stebėti ir pranešti.

Audito nesėkmė

Kita vertus, audito nesėkmė reiškia, kad audituojamas veiksmas nebuvo sėkmingai užbaigtas. Taip gali nutikti dėl kelių priežasčių, pvz., įvestas neteisingas slaptažodis arba vartotojas, neturintis reikiamų leidimų veiksmui atlikti. Vėlgi, viskas, ką sukonfigūravote įvykių peržiūros programą stebėti ir apie ką pranešti, gali sukelti audito gedimą.

Tai štai – greitas audito sėkmės ir nesėkmės paaiškinimas įvykių peržiūros priemonėje. Kaip visada, jei turite klausimų, nedvejodami susisiekite su mūsų IT ekspertų komanda.

Kad padėtų šalinti triktis, „Windows“ operacinėje sistemoje įdiegta įvykių peržiūros priemonė rodo sistemos ir taikomųjų programų pranešimų žurnalus, kuriuose yra klaidų, įspėjimų ir konkrečios įvykių informacijos, kurią administratorius gali analizuoti, kad imtųsi atitinkamų veiksmų. Šiame įraše aptariame Audito sėkmė arba audito nesėkmė įvykių peržiūros priemonėje .

Kas yra audito sėkmė arba audito nesėkmė įvykių peržiūros priemonėje

Įvykio žiūrove Sėkmės auditas yra įvykis, registruojantis sėkmingą patvirtintą saugios prieigos bandymą Audito klaida yra įvykis, registruojantis nesėkmingą bandymą pasiekti patvirtintą saugią prieigą. Šią temą aptarsime šiose paantraštėse:

1. Audito politika
2. Įgalinti audito politiką
3. Norėdami rasti nesėkmingų arba sėkmingų bandymų šaltinį, naudokite įvykių peržiūros priemonę
4. Įvykių peržiūros priemonės naudojimo alternatyvos

Pažvelkime į tai išsamiai.

Audito politika

Audito politika apibrėžia įvykių, kurie įrašomi į saugos žurnalus, tipus, ir šios strategijos generuoja įvykius, kurie gali būti sėkmingi arba nesėkmingi. Bus sukurtos visos audito strategijos Sėkmės įvykius ; tačiau tik keli iš jų sukurs Nesėkmės įvykiai . Galite konfigūruoti dviejų tipų audito strategijas, būtent:

• Pagrindinė audito politika turi 9 audito politikos kategorijas ir 50 audito politikos subkategorijų, kurias pagal poreikį galima įjungti arba išjungti. Toliau pateikiamas 9 audito politikos kategorijų sąrašas.
  • Audito paskyros prisijungimo įvykius
  • Prisijungimo įvykių auditas
  • Sąskaitos valdymo auditas
  • Katalogų tarnybos prieigos auditas
  • Objekto prieigos auditas
  • Audito politikos keitimas
  • Audito privilegijų naudojimas
  • Audito proceso stebėjimas
  • Audito sistemos įvykiai. Šis strategijos parametras nustato, ar atlikti patikrinimą, kai vartotojas iš naujo paleidžia arba išjungia kompiuterį, arba kai įvyksta įvykis, turintis įtakos sistemos saugai arba saugos žurnalui. Daugiau informacijos ir susijusių prisijungimo įvykių ieškokite Microsoft dokumentacijoje adresu Learn.microsoft.com/Basic-Audit-System-Events .
• Išplėstinė audito politika kuri turi 53 kategorijas, todėl rekomenduojama, nes galite apibrėžti išsamesnę audito politiką ir registruoti tik atitinkamus įvykius, o tai ypač naudinga generuojant daug žurnalų.

Audito klaidos paprastai atsiranda, kai nepavyksta pateikti prisijungimo užklausos, nors jas taip pat gali sukelti paskyrų, objektų, strategijų, privilegijų ir kitų sistemos įvykių pakeitimai. Du dažniausiai pasitaikantys įvykiai yra šie:

• Įvykio ID 4771: nepavyko išankstinis Kerberos autentifikavimas . Šis įvykis generuojamas tik domeno valdikliuose ir nėra generuojamas, jei Nereikalaujama išankstinio Kerberos autentifikavimo paskyrai nustatyta parinktis. Norėdami gauti daugiau informacijos apie šį įvykį ir kaip išspręsti šią problemą, žr Microsoft dokumentacija .
• Įvykio ID 4625: nepavyko prisijungti prie paskyros . Šis įvykis sugeneruojamas, kai nepavyksta prisijungti prie paskyros ir vartotojas jau yra užblokuotas. Norėdami gauti daugiau informacijos apie šį įvykį ir kaip išspręsti šią problemą, žr Microsoft dokumentacija .

Skaityti : Kaip patikrinti išjungimo ir paleidimo žurnalą sistemoje Windows

Įgalinti audito politiką

Galite įjungti audito strategijas kliento arba serverio įrenginiuose naudodami vietinę grupės strategijos rengyklę arba grupės strategijos valdymo pultą arba Vietos saugos politikos redaktorius . „Windows“ serveryje savo domene sukurkite naują GPO arba redaguokite esamą GPO.

Kliento arba serverio kompiuteryje grupės strategijos rengyklėje eikite į šį kelią:

Kliento arba serverio kompiuteryje vietinėje saugos politikoje eikite į šį kelią:

• Dešinėje srityje esančioje audito strategijų srityje dukart spustelėkite politiką, kurios ypatybes norite pakeisti.
• Savybių skydelyje galite įgalinti politiką Sėkmės arba Atmetimas pagal jūsų reikalavimą.

Skaityti : Kaip iš naujo nustatyti visus vietinės grupės strategijos nustatymus į numatytuosius Windows sistemoje

Norėdami rasti nesėkmingų arba sėkmingų bandymų šaltinį, naudokite įvykių peržiūros priemonę

Administratoriai ir bendrieji vartotojai gali atidaryti įvykių peržiūrą vietiniame arba nuotoliniame kompiuteryje, turėdami atitinkamus leidimus. Įvykių peržiūros priemonė dabar užregistruos įvykį kiekvieną kartą, kai įvyksta nesėkmės arba sėkmės įvykis kliento kompiuteryje ar serverio domene. Įvykio ID, kuris suaktyvinamas registruojant nepavykusį arba sėkmingą įvykį, skiriasi (žr. toliau). Audito politika skyrių aukščiau). Gali eiti į Įvykių peržiūros priemonė > Žurnalo langai > Saugumas . Centre esančiame skydelyje pateikiami visi įvykiai, sukonfigūruoti auditui. Turėsite peržiūrėti užregistruotus įvykius, kad surastumėte nesėkmingus arba sėkmingus bandymus. Kai juos rasite, dešiniuoju pelės mygtuku spustelėkite įvykį ir pasirinkite Renginio savybės Daugiau informacijos.

Skaityti : naudokite įvykių peržiūros programą, kad patikrintumėte, ar neteisėtai naudojamasi Windows kompiuteriu.

Įvykių peržiūros priemonės naudojimo alternatyvos

Kaip alternatyva įvykių peržiūros programai, yra keletas trečiųjų šalių įvykių žurnalų tvarkyklės programinės įrangos, kurią galima naudoti įvykių duomenims iš įvairių šaltinių, įskaitant debesies paslaugas, kaupti ir susieti. SIEM sprendimas yra geriausias pasirinkimas, jei reikia rinkti ir analizuoti duomenis iš ugniasienių, įsibrovimų prevencijos sistemų (IPS), įrenginių, programų, jungiklių, maršrutizatorių, serverių ir kt.

Windows komandinės eilutės istorija

Tikimės, kad šis įrašas bus pakankamai informatyvus!

Dabar skaitykite : Kaip įjungti arba išjungti saugų įvykių registravimą sistemoje Windows

Kodėl svarbu patikrinti sėkmingus ir nesėkmingus prieigos bandymus?

Labai svarbu patikrinti prisijungimo įvykius, nesvarbu, ar jie buvo sėkmingi, ar nesėkmingi, kad būtų galima aptikti įsibrovimo bandymus, nes vartotojų prisijungimų tikrinimas yra vienintelis būdas aptikti visus neteisėtus domeno prisijungimo bandymus. Atsijungimo įvykiai nėra stebimi domeno valdikliuose. Taip pat taip pat svarbu sekti nesėkmingus bandymus pasiekti failą, nes audito įrašas sukuriamas kiekvieną kartą, kai bet kuris vartotojas nesėkmingai bando pasiekti failų sistemos objektą, turintį atitinkamą SACL. Šie įvykiai reikalingi norint sekti failų objektų, kurie yra jautrūs arba vertingi ir reikalaujantys papildomos stebėjimo, veiklą.

Skaityti : sustiprinkite „Windows“ prisijungimo slaptažodžio politiką ir paskyros blokavimo politiką

Kaip įjungti audito klaidų žurnalus „Active Directory“?

Norėdami įjungti audito klaidų žurnalus Active Directory, tiesiog dešiniuoju pelės mygtuku spustelėkite Active Directory objektą, kurį norite patikrinti, ir pasirinkite Charakteristikos . Pasirinkite Saugumas skirtuką, tada pasirinkite Išplėstinė . Pasirinkite Auditas skirtuką, tada pasirinkite Papildyti . Norėdami peržiūrėti audito žurnalus „Active Directory“, spustelėkite Pradėti > Sistemos saugumas > Valdymo įrankiai > Įvykių peržiūros priemonė . „Active Directory“ auditas yra AD objektų ir grupės strategijos duomenų rinkimo ir analizės procesas, siekiant aktyviai pagerinti saugumą, greitai aptikti grėsmes ir į jas reaguoti bei užtikrinti sklandų IT operacijų veikimą.