Администрирование

Планирование политики аудита

Администратор должен решить, на каких компьютерах ве- сти аудит. По умолчанию аудит отключен.
При определении компьютеров для аудита администратор должен также спланировать, что отслеживать на каждом ком- пьютере. Windows записывает проверяемые события отдельно на каждом компьютере.
Можно вести аудит:

• 
  доступа к файлам и папкам;
  
• 
  входа в систему и выхода из нее определенных пользо- вателей;
  
• 
  выключения и перезагрузки компьютера с Windows Server;
  
• 
  изменений учетных записей пользователей и групп;
  
• 
  попыток изменения объектов Active Directory.
  

Определив, какие события проверять, необходимо решить, отслеживать ли их успех и/или неудачу. Отслеживание успеш- ных событий расскажет, как часто пользователи Windows или ее службы получают доступ к определенным файлам, принтерам и другим объектам. Это пригодится при планировании использо- вания ресурсов. Отслеживание неудачных событий может пре- дупредить о возможных нарушениях безопасности. Например, многочисленные неудачные попытки входа в систему с опреде- ленной учетной записью, особенно если они происходили вне обычного рабочего времени, могут означать, что некто, не име- ющий прав доступа, пытается взломать систему.
При определении политики аудита целесообразно руко- водствоваться следующими принципами:

• 
  решите, нужно ли отслеживать тенденции в использова- нии ресурсов системы. В этом случае запланируйте архивацию журналов событий. Это позволит увидеть изменения в использова- нии системных ресурсов и заблаговременно увеличить их;
  
• 
  чаще просматривайте журнал безопасности. Составьте расписание и регулярно просматривайте этот журнал, поскольку настройка аудита сама по себе не предупредит о нарушениях безопасности;
  
• 
  сделайте политику аудита полезной и легкой в управле- нии. Всегда проверяйте уязвимые и конфиденциальные данные. Проверяйте только такие события, чтобы получить содержа- тельную информацию об обстановке в сети. Это минимизирует использование ресурсов сервера и позволит легче находить нужную информацию. Аудит слишком многих событий приве- дет к замедлению работы Windows;
  
• 
  проверяйте доступ к ресурсам не пользователей группы Users (Пользователи), а пользователей группы Everyone (Все). Это гарантирует, что Вы отследите любого, кто подсоединился к сети, а не только тех, для кого создана учетная запись.
  

3.