Аудит событий безопасности

Аудит позволяет отслеживать и записывать события, связанные с безопасностью, такие, как попытки доступа пользователей к защищенным файлам и папкам. После включения аудита объекта в журнал безопасности Windows XP Professional заносятся записи при любой попытке доступа к этому объекту. При этом определяется объект аудита, действия, подвергаемые аудиту, и точные типы действий для аудита. После установки аудита можно отслеживать доступ пользователей к определенным объектам и анализировать недостатки системы безопасности. Записи аудита, содержащие сведения по выбранным событиям, показывают, кто выполнял какие-либо действия и кто пытался выполнить какие-либо неразрешенные действия.

  • Советы по проведению аудита находятся в разделе Советы и рекомендации по аудиту.
  • Справка по выполнению конкретных задач содержится в разделе Инструкции.
  • Сведения общего характера см. в разделе Основные понятия.


Советы и рекомендации

Рисунок Microsoft Windows

Советы и рекомендации по аудиту

Чтобы уменьшить риск угрозы безопасности, следует предпринять несколько шагов по аудиту. Ниже в таблице представлены различные события аудита и те угрозы безопасности, которые отображаются при помощи этого события.

Событие аудита | Потенциальная угроза
Аудит отказов входа/выхода. | Случайный взлом пароля
Аудит успехов входа/выхода. | Вход с украденным паролем
Аудит успехов использования привилегий, управления пользователями и группами, изменений политик безопасности, перезагрузки, выключения и системных событий. | Неправильное использование привилегий
Аудит успехов и отказов событий доступа к файлам и объектам. Аудит успехов и отказов диспетчера файлов в доступе подозрительным пользователям или группам к важным файлам для чтения и записи. | Неправильный доступ к важным файлам
Аудит успехов и отказов событий доступа к принтерам и объектам. Аудит успехов и отказов диспетчера печати в доступе подозрительным пользователям или группам к принтерам. | Неправильный доступ к принтерам
Аудит успехов и отказов доступа для записи к программным файлам (с расширениями .exe и .dll). Аудит успехов и отказов для отслеживания процессов. Запустите подозреваемую программу; проверьте наличие в журнале безопасности недопустимых попыток изменить программные файлы или создать неверные процессы. Запускайте программу, только отслеживая события в журнале системы. | Эпидемия вирусов

Дополнительные сведения см. в разделе Политика аудита.

См. также


Инструкции

  • Установка политики аудита
  • Включение политики «Аудит доступа к объектам»
  • Настройка, просмотр, изменение и отмена аудита файла или папки
  • Просмотр журнала безопасности


Установка политики аудита

Рисунок Microsoft Windows

Чтобы установить политику аудита

  1. Выполните одно из следующих действий.
    Если | Выполните следующее действие
    Требуется изменить настройки безопасности для локального компьютера. | Откройте компонент Локальные параметры безопасности.
    При работе на рабочей станции или сервере, присоединенных к домену, требуется изменить настройки безопасности для объекта групповой политики.
    • Нажмите кнопку Пуск, выберите команду Выполнить, введите команду mmc и нажмите кнопку OK.
    • На консоли выберите в меню Файл команду Добавить/удалить оснастку.
    • В диалоговом окне Добавить/удалить оснастку нажмите кнопку Добавить. В диалоговом окне Добавить изолированную оснастку дважды щелкните оснастку Групповая политика.
    • В диалоговом окне Выбор объекта групповой политики нажмите кнопку Обзор, выберите объект политики, который требуется изменить, и нажмите кнопку Готово.
    • Нажмите кнопку Закрыть, затем OK.
  2. В дереве консоли щелкните папку Политика аудита.

    Где?

    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Локальные политики
    • Политика аудита
  3. В области сведений дважды щелкните политику аудита, для которой требуется изменить параметры аудита, и установите флажок Определить следующие параметры политики.
  4. Выполните одно или оба из следующих действий.
    • Чтобы производить аудит успешных попыток, установите флажок Успех.
    • Чтобы производить аудит неуспешных попыток, установите флажок Отказ.
  5. Повторите последние два шага для внесения изменений в другие политики.

Примечание

  • XOX
  • XOX

Дополнительные сведения см. в разделе Политика аудита.


Как включить аудит доступа к объектам

Рисунок Microsoft Windows

Чтобы включить политику аудита доступа к объектам

  1. Воспользуйтесь одним из следующих методов.
    2. Если | Выполните следующее действие
    Требуется изменить настройки безопасности для локального компьютера | Откройте компонент Локальные параметры безопасности.
    При работе на рабочей станции или сервере, присоединенных к домену, требуется изменить настройки безопасности для объекта групповой политики.
    • Нажмите кнопку Пуск, выберите команду Выполнить, введите команду mmc и нажмите кнопку OK.
    • На консоли выберите в меню Файл команду Добавить/удалить оснастку.
    • В диалоговом окне Добавить/удалить оснастку нажмите кнопку Добавить. В диалоговом окне Добавить изолированную оснастку дважды щелкните оснастку Групповая политика.
    • В диалоговом окне Выбор объекта групповой политики нажмите кнопку Обзор, выберите объект политики, который требуется изменить, и нажмите кнопку Готово.
    • Нажмите кнопку Закрыть, затем OK.
  2. В дереве консоли дважды щелкните узел Политика аудита.

    Где?

    • Политика Объекта
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Локальные политики
    • Политика аудита
  3. Дважды щелкните значок Аудит доступа к объектам и в диалоговом окне Свойства: Аудит доступа к объектам установите флажок Определить следующие параметры политики.
  4. Выполните одно или оба следующих действия.
    • Чтобы производить аудит успешных попыток, установите флажок Успех.
    • Чтобы производить аудит неуспешных попыток, установите флажок Отказ.

Примечания

  • XOX
  • XOX
  • Параметры безопасности обновляются каждые 90 минут на рабочей станции или сервере и каждые пять минут на контроллере домена. Каждые 16 часов производится вынужденное обновление, независимо от любых изменений.

Дополнительные сведения содержатся в разделе Аудит доступа к объектам.

См. также


Настройка, просмотр, изменение и отмена аудита файла или папки

Рисунок Microsoft Windows

Чтобы настроить, просмотреть, изменить или отменить аудит файла или папки

  1. Откройте проводник и найдите файл или папку для настройки параметров аудита.
  2. Щелкните файл или папку правой кнопкой мыши, выберите пункт Свойства и перейдите на вкладку Безопасность.
  3. Нажмите кнопку Дополнительно и перейдите на вкладку Аудит.
  4. Выполните одно из следующих действий.
    • Для добавления нового пользователя или группы нажмите кнопку Добавить. В поле Имя введите имя пользователя или группы и нажмите кнопку ОК.
    • Чтобы просмотреть или изменить параметры аудита для имеющейся группы или пользователя, выберите соответствующее имя и нажмите кнопку Изменить.
    • Чтобы отменить аудит для имеющейся группы или пользователя, выберите соответствующее имя и нажмите кнопку Удалить, нажмите кнопку OK, затем пропустите оставшуюся часть процедуры.
  5. Чтобы настроить аудит для папки в диалоговом окне Элемент аудита для имя файла или папки в поле Применять выберите, где должен проводиться аудит.
  6. В поле Доступ выполните любое из следующих действий для каждого выбранного события.
    • Чтобы производить аудит успешных событий, установите флажок Успех.
    • Чтобы прекратить аудит успешных событий, снимите флажок Успех.
    • Чтобы производить аудит неуспешных событий, установите флажок Отказ.
    • Чтобы прекратить аудит неуспешных событий, снимите флажок Отказ.
    • Или, чтобы прекратить аудит всех событий, нажмите кнопку Очистить все.
  7. Если требуется предотвратить наследование этих элементов аудита файлами и подпапками дерева, установите флажок Применять этот аудит к объектам и контейнерам только внутри этого контейнера.

Важно!

  • Перед проведением аудита файлов и папок пользователь или администратор домена должны включить политику Аудит доступа к объектам в папке «Политика Аудита». Если этого не сделать, при настройке аудита файлов и папок будет выдано сообщение об ошибке, а аудит файлов и папок проводиться не будет. Дополнительные сведения см. в разделе Включение политики «Аудит доступа к объектам».

Примечания

  • Для аудита файлов и папок пользователь должен войти в систему под именем, входящим в группу «Администраторы», или обладать в групповой политике правом Управление аудитом и журналом безопасности.
  • XOX
  • Если требуется просмотреть вкладку Безопасность при отсутствии подключения к домену, см. инструкции в разделе Отображение вкладки «Безопасность».
  • После включения аудита доступа к объектам просмотрите результаты изменений в журнале безопасности в программе «Просмотр событий».
  • Аудит доступа к файлам и папкам возможен только на дисках NTFS.
  • Возможны следующие ситуации:
    • В диалоговом окне Элемент аудита для имя файла или папки в поле Доступ флажки находятся в неопределенном состоянии.
    • В диалоговом окне Элемент аудита для имя файла или папки кнопка Удалить недоступна.
    В этих случаях параметры аудита унаследованы от родительской папки.
  • Так как размер журнала безопасности ограничен, файлы и папки для проведения аудита следует выбирать аккуратно. Также следует решить, какой объем дискового пространства следует отвести под хранение журнала безопасности. Максимальный размер задается в программе просмотра событий.

См. также


Просмотр журнала безопасности

Рисунок Microsoft Windows

Чтобы просмотреть журнал безопасности

  1. Откройте оснастку Управление компьютером.
  2. В дереве консоли щелкните узел Просмотр событий.

    Где?

    • Служебные программы
    • Просмотр событий
  3. В области сведений дважды щелкните значок Безопасность.
  4. Для получения дальнейшей информации о событии дважды щелкните значок события в области сведений.

Дополнительные сведения о событиях безопасности см. раздел «События безопасности» на на веб-узле Microsoft Windows Resource Kits (http://www.microsoft.com/).

Примечания

  • XOX
  • XOX


Основные понятия

  • Политики аудита
  • Просмотр журналов безопасности
  • Аудит операций с файлами и папками
  • Параметры аудита объектов
  • Влияние наследования на аудит файлов и папок
  • Выбор объектов для применения элементов аудита


Политики аудита

Перед внедрением аудита необходимо выбрать политику аудита. Политика аудита указывает категории событий для аудита, связанных с безопасностью. При первой установке Windows XP Professional все категории аудита выключены. Включая аудит различных категорий событий, можно создавать политику аудита, удовлетворяющую всем требованиям организации.

Для проведения аудита можно выбрать следующие категории событий.

  • Аудит событий входа в систему
  • Аудит управления учетными записями
  • Аудит доступа к службе каталогов
  • Аудит входа в систему
  • Аудит доступа к объектам
  • Аудит изменения политики
  • Аудит использования привилегий
  • Аудит отслеживания процессов
  • Аудит системных событий

Если выбран аудит доступа к объектам как часть политики аудита, необходимо включить либо категорию аудита доступа к службе каталогов (для аудита объектов на контроллере домена), либо категорию аудита доступа к объектам (для аудита объектов на рядовой сервер или рабочую станцию). После включения категории доступа к объектам можно указать для каждой группы или пользователя, для каких типов доступа проводить аудит. Дополнительные сведения о настройке аудита объектов см. в разделе Параметры аудита объектов.

Чтобы включить аудит локальных объектов, необходимо войти в систему с учетной записью члена группы «Администраторы».


Просмотр журналов безопасности

В процессе аудита локального объекта создаются записи в журнале безопасности. Записи безопасности, отображающиеся в журнале безопасности, зависят от категорий аудита, выбранных для политики аудита. Записи в журнал безопасности событий доступа к объектам также зависят от параметров аудита, определенных для каждого объекта.

Например, если в политике аудита указан аудит файлов и папок, а в свойствах файла указан аудит отказов удаления, каждая неудачная попытка пользователя удалить файл будет отображаться в журнале безопасности.

Просмотреть журнал безопасности можно в программе просмотра событий.

Размер журнала безопасности

Важно правильно установить размер журнала безопасности. Так как размер журнала безопасности ограничен, категории событий для проведения аудита следует выбирать аккуратно. Также следует решить, какой объем дискового пространства следует отвести под хранение журнала безопасности. Максимальный размер задается в программе просмотра событий.

Сведения о действиях при переполнении журнала безопасности см. в разделе Остановка работы компьютера при переполнении журнала безопасности.

Дополнительные сведения о событиях безопасности см. События безопасности (http://www.microsoft.com/) на веб-узле Microsoft Windows Resource Kits.


Аудит операций с файлами и папками

Аудит операций позволяет проводить аудит файлов и папок. Это значит, что, кроме аудита доступа к объектам, имеется возможность настроить аудит операций, таких, как чтение и запись. Например, если включен аудит для операции записи в файл, в процессе записи в файл будет создан аудит операции.

Чтобы включить аудит операций с файлами и папками, необходимо выполнить следующие действия.

  1. Включение политики Аудит доступа к объектам.

    Дополнительные сведения см. в разделе Включение политики «Аудит доступа к объектам».

  2. Настройка, просмотр, изменение и отмена аудита файла или папки

Аудиты операций классифицируются аналогично аудитам объектов, и помечаются как событие № 567. Аудиты операций создаются при первом проведении операции. Только файлы и папки могут быть настроены на создание аудитов операций.


Параметры аудита объектов

Каждый объект имеет набор свойств безопасности, или дескриптор безопасности, присоединенный к нему. В одной части дескриптора безопасности перечислены пользователи и группы, имеющие доступ к объекту, а также типы доступа (разрешения), назначенные этим пользователям или группам. Эта часть дескриптора безопасности называется избирательной таблицей управления доступом (DACL).

Кроме сведений о разрешениях дескриптор безопасности объекта также содержит сведения аудита. Эти данные аудита называются системной таблицей управления доступом (SACL). В таблице SACL указываются следующие сведения.

  • Учетные записи группы или пользователя для аудита при осуществлении доступа к объекту.
  • События доступа для аудита каждой группы или пользователя. Примером события доступа является изменение файла.
  • Атрибуты «Успех» или «Отказ» для каждого события доступа на основе разрешений каждой группы или пользователя в таблице DACL объекта.

Типы доступа, аудит которых можно выполнить, в основном зависят от того, проводится аудит доступа к файлам и папкам или к объектам Active Directory. В следующих разделах перечислены типы доступа.

Аудит можно применять как прямо к объектам, так и к любым дочерним объектам с помощью наследования. Например, если выполняется аудит отказов попыток записи в папку, это событие аудита будет наследоваться всеми файлами в этой папке. Дополнительные сведения см. в разделе Влияние наследования на аудит файлов и папок.

Примечание

  • Для аудита файлов и папок необходимо войти в систему с учетной записью члена группы «Администраторы».

См. также


Влияние наследования на аудит файлов и папок

После настройки аудита родительской папки новые файлы и папки, создаваемые в ней, будут наследовать параметры аудита. Если требуется предотвратить наследование аудита, при настройке аудита для родительской папки выберите в диалоговом окне Элемент аудита для имя файла или папка в поле Применять выберите пункт Только для этой папки. В случаях, когда требуется предотвратить наследование только для некоторых файлов или подпапок, щелкните этот файл или подпапку правой кнопкой мыши, выберите команду Свойства, перейдите на вкладку Безопасность, нажмите кнопку Дополнительно, перейдите на вкладку Аудит и снимите флажок Наследовать от родительского объекта применимые к дочерним объектам элементы аудита, добавляя их к явно заданным в этом окне.

Если флажки в диалоговом окне Элемент аудита для имя файла или папки затенены или в диалоговом окне Параметры управления доступом недоступна кнопка Удалить, значит, параметры аудита унаследованы от родительской папки. Существуют следующие способы изменения унаследованных параметров аудита.

  • Внесите в параметры аудита родительской папки изменения, которые будут унаследованы файлом или папкой.
  • На вкладке Аудит снимите флажок Наследовать от родительского объекта применимые к дочерним объектам элементы аудита, добавляя их к явно заданным в этом окне. Теперь можно нажать кнопку Изменить или Удалить, чтобы внести изменения или отменить аудит. Теперь данный файл или папка больше не будут наследовать изменения параметров аудита родительской папки.

См. также


Выбор объектов для применения элементов аудита

При аудите файлов и папок открывается диалоговое окно Элемент аудита. В поле Применять этого диалогового окна показано, к каким объектам будут применяться элементы аудита. Применение этих элементов аудита зависит от того, установлен ли флажок Применять этот аудит к объектам и контейнерам только внутри этого контейнера. По умолчанию этот флажок не установлен.

Когда флажок Применять этот аудит к объектам и контейнерам только внутри этого контейнера не установлен

Применять | Аудит текущей папки | Аудит подпапок в текущей папке | Аудит файлов в текущей папке | Аудит всех вложенных подпапок | Аудит файлов во всех вложенных подпапках
Только для этой папки | x |  |  |  |
Для этой папки, ее подпапок и файлов | x | x | x | x | x
Для этой папки и ее подпапок | x | x |  | x |
Для этой папки и ее файлов | x |  | x |  | x
Только для подпапок и файлов |  | x | x | x | x
Только для подпапок |  | x |  | x |
Только для файлов |  |  | x |  | x

Когда флажок Применять этот аудит к объектам и контейнерам только внутри этого контейнера установлен

Применять | Аудит текущей папки | Аудит подпапок в текущей папке | Аудит файлов в текущей папке | Аудит всех вложенных подпапок | Аудит файлов во всех вложенных подпапках
Только для этой папки | x |  |  |  |
Для этой папки, ее подпапок и файлов | x | x | x |  |
Для этой папки и ее подпапок | x | x |  |  |
Для этой папки и ее файлов | x |  | x |  |
Только для подпапок и файлов |  | x | x |  |
Только для подпапок |  | x |  |  |
Только для файлов |  |  | x |  |

См. также


Основные понятия аудита

Рисунок Microsoft Windows

Основные понятия

Данный раздел содержит сведения общего характера об аудите.

  • Общие сведения об аудите
  • Использование аудита


Общие сведения об аудите событий безопасности

Создание записей аудита является важным аспектом безопасности. Отображение создания и изменения объектов позволяет отслеживать возможные угрозы безопасности, помогает убедиться в подлинности пользователя, а также получать подтверждение в случае сбоя системы безопасности.

Внедрение аудита безопасности в систему включает три главных шага.

Во-первых, необходимо включить категории событий для аудита. Примерами категорий событий являются вход пользователя в систему, выход из нее и управление учетными записями. Выбранные категории событий составляют политику аудита. Поскольку при первой установке Windows XP Professional никакие категории не выбраны, политика аудита отсутствует. Категории событий, для которых можно выполнить аудит, перечислены в средстве «Управление компьютером».

Во-вторых, необходимо настроить размер и параметры журнала безопасности.

И наконец, если выбрана либо категория доступа аудита службы каталогов, либо аудита объекта, необходимо определить объекты, для которых требуется отображать доступ и соответственно изменить их дескрипторы безопасности. Например, чтобы выполнить аудит всех попыток пользователей открыть конкретный файл, можно установить атрибут «Успех» или «Отказ» для этого файла и конкретного события.

Дополнительные сведения см. в разделе Политика аудита.

См. также


Аудит

Аудит безопасности обеспечивает наблюдение за различными событиями, затрагивающими безопасность. Отображение системных событий необходимо для определения злоумышленников или попыток поставить под угрозу данные системы. Примером события, подлежащего аудиту, является неудачная попытка доступа.

Наиболее общими типами событий для аудита являются:

  • доступ к таким объектам, как файлы и папки;
  • управление учетными записями пользователей и групп;
  • вход пользователей в систему и выход из нее.

Кроме аудита событий, связанных с безопасностью, создается журнал безопасности, в котором можно просмотреть события безопасности. Просмотреть журнал безопасности можно в окне просмотра событий.

Дополнительные сведения см. в разделе Политика аудита.

См. также


Настройка аудита

Аудит доступа к объектам

Имеется возможность настроить аудит таких объектов, как папки, принтеры или разделы реестра. Дополнительные сведения см. в разделе Контрольный список для аудита доступа к объектам.

Аудит событий

Имеется возможность настроить политики аудита событий компьютера. Дополнительные сведения см. в разделах Политики аудита и Установка политики аудита.

См. также


Аудит доступа к объектам

Рисунок Microsoft Windows

Контрольный список для аудита доступа к объектам

Действие | Справочные сведения
Просмотр политики Аудит доступа к объектам | Аудит доступа к объектам
Включение политики Аудит доступа к объектам | Включение политики «Аудит доступа к объектам»
Просмотр параметров аудита | Параметры аудита объектов
Настройка аудита файла или папки | Настройка, просмотр, изменение и отмена аудита файла или папки