Администрирование

Аудит в Microsoft Windows

1. Обзор аудита в Windows

Аудит в Windows — это процесс отслеживания действий пользователя и действий Windows (называемых событиями). Во время аудита Windows в соответствии с указаниями записывает информацию о событиях в журнал безопасности. В этот журнал записываются попытки входа в систему с правильными и непра- вильными паролями, а также события, связанные с созданием, открытием, уничтожением файлов или других объектов.
Каждая запись в журнале безопасности содержит:

• 
  сведения о выполненном действии;
  
• 
  сведения о пользователе, выполнившем это действие;
  
• 
  сведения о событии, произошедшем при этом, а также о том, было ли оно успешно.
  

8.5.1.1. Использование политики аудита
Политика аудита определяет, какие типы событий Win- dows должна записывать в журнал безопасности на каждом компьютере. Этот журнал позволяет отслеживать указанные Вами события.
Windows записывает сведения о событии в журнал без- опасности на том компьютере, на котором это событие имело
место. Например, можно настроить аудит так, что каждый раз, когда кто-то неудачно пытается войти в домен с какой-то до- менной учетной записью, это событие записывалось в журнал безопасности на контроллере домена.
Это событие записывается на контроллере домена, а не на компьютере, на котором была сделана попытка входа в систему, потому что именно контроллер домена пытался и не смог аутен- тифицировать вход в систему.
Можно настроить политику аудита на компьютере для:

• 
  отслеживания успеха/неудачи событий, таких как по- пытка входа в систему, попытка определенного пользователя прочесть указанный файл, изменений учетной записи пользова- теля или членства в группе, а также изменений в Ваших пара- метрах безопасности;
  
• 
  устранения или минимизации риска несанкционирован- ного использования ресурсов.
  

Для просмотра событий, записанных Windows в журнал безопасности, можно использовать оснастку Event Viewer (Про- смотр событий). Можно также архивировать журналы для вы- явления долговременных тенденций — например, для определе- ния интенсивности доступа к принтерам или файлам или для контроля попыток несанкционированного доступа к ресурсам.

2.