Аудит локальной системы

Аудит обеспечивает наблюдение за различными событиями, затрагивающими безопасность. Отображение сис-темных событий необходимо для определения злоумышленников или попыток поставить под угрозу данные системы. Примером события, подлежащего аудиту, является неудачная попытка доступа.

Наиболее общими типами событий для аудита являются:

а) доступ к таким объектам, как файлы и папки;
б) управление учетными записями пользователей и групп;
в) вход пользователей в систему и выход из нее.

Кроме аудита событий, связанных с безопасностью, создается журнал безопасности, в котором можно просмотреть события безопасности. Просмотреть журнал безопасности можно в окне просмотра событий.

Политики аудита

Перед внедрением аудита необходимо выбрать политику аудита. Политика аудита указывает категории собы-тий для аудита, связанных с безопасностью. При первой установке Windows 2000 Professional все категории аудита выключены. Включая аудит различных категорий событий, можно создавать политику аудита, удовлетворяющую всем требованиям организации.

Для проведения аудита можно выбрать следующие категории событий:

1) Аудит событий входа в систему. Определяет, подлежит ли аудиту каждая попытка пользователя войти в систему или выйти из нее на другом компьютере, при условии, что данный компьютер используется для проверки подлинности учетной записи. Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждой успешной попытки входа в систему. Аудит отказов означает создание записи аудита для каждой неудачной попытки входа в систему. Если аудит успешных попыток входа в систему включен на контроллере домена, в журнал будет заноситься запись о каждом пользователе, прошедшем проверку на этом контроллере домена, несмотря на то, что пользователь на самом деле входит в систему на рабочей станции домена.

2) Аудит управления учетными записями. Определяет, подлежат ли аудиту все события, связанные с управлением учетными записями на компьютере. К таким событиям относятся, в частности, следующие:

а) создание, изменение или удаление учетной записи пользователя или группы;
б) переименование, отключение или включение учетной записи пользователя;
в) задание или изменение пароля.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить ау-дит событий данного типа. Аудит успехов означает создание записи аудита для каждого успешного события управления учетными записями. Аудит отказов означает создание записи аудита для каждого неудачного события управления учетными записями.

3) Аудит доступа к службе каталогов. Определяет, подлежит ли аудиту событие доступа пользователя к объекту каталога Active Directory, для которого задана собственная системная таблица управления доступом (SACL).

По умолчанию эта политика отменяет аудит для объекта групповой политики «Стандартный контроллер доме-на» и не определена для рабочих станций и серверов, на которых она не имеет смысла.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить ау-дит событий данного типа. Аудит успехов означает создание записи аудита при каждом успешном доступе пользова-теля к объекту Active Directory, для которого определена таблица SACL. Аудит отказов означает создание записи ау-дита при каждой неудачной попытке доступа пользователя к объекту Active Directory, для которого определена таблица SACL.

4) Аудит входа в систему. Определяет, подлежит ли аудиту каждая попытка пользователя войти в систему или выйти из нее на данном компьютере, или подключиться к нему через сеть.

Политика «Аудит событий входа в систему» действует там, где размещена учетная запись, а политика «Аудит входа в систему» — там, где предпринимается попытка входа.

5) Аудит доступа к объектам. Определяет, подлежит ли аудиту событие доступа пользователя к объекту — например, к файлу, папке, разделу реестра, принтеру и т.п., — для которого задана собственная системная таблица управления доступом (SACL).

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить ау-дит событий данного типа. Аудит успехов означает создание записи аудита при каждом успешном доступе пользова-теля к объекту, для которого определена таблица SACL. Аудит отказов означает создание записи аудита при каждой неудачной попытке доступа пользователя к объекту, для которого определена таблица SACL.

6) Аудит изменения политики. Определяет, подлежит ли аудиту каждый факт изменения политик назначения прав пользователей, политик аудита или политик доверительных отношений.

7) Аудит использования привилегий. Определяет, подлежит ли аудиту каждая попытка пользователя воспользоваться предоставленным ему правом.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить ау-дит событий данного типа.

8) Аудит отслеживания процессов. Определяет, подлежат ли аудиту такие события, как активизация программы, завершение процесса, повторение дескрипторов и косвенный доступ к объекту.

9) Аудит системных событий. Определяет, подлежат ли аудиту события перезагрузки или отключения компьютера, а также события, влияющие на системную безопасность или на журнал безопасности.

Если выбран аудит доступа к объектам как часть политики аудита, необходимо включить либо категорию аудита доступа к службе каталогов (для аудита объектов на контроллере домена), либо категорию аудита доступа к объектам (для аудита объектов на рядовой сервер или рабочую станцию). После включения категории доступа к объектам можно указать для каждой группы или пользователя, для каких типов доступа проводить аудит.

Аудит событий безопасности

Аудит позволяет отслеживать и записывать события, связанные с безопасностью, такие, как попытки доступа пользователей к защищенным файлам и папкам. После включения аудита объекта в журнал безопасности Windows 2000 Professional заносятся записи при любой попытке доступа к этому объекту. При этом определяется объ-ект аудита, действия, подвергаемые аудиту, и точные типы действий для аудита. После установки аудита можно от-слеживать доступ пользователей к определенным объектам и анализировать недостатки системы безопасности. Запи-си аудита, содержащие сведения по выбранным событиям, показывают, кто выполнял какие-либо действия и кто пы-тался выполнить какие-либо неразрешенные действия.

Аудит операций с файлами и папками

Аудит операций позволяет проводить аудит файлов и папок. Это значит, что, кроме аудита доступа к объектам, имеется возможность настроить аудит операций, таких, как чтение и запись. Например, если включен аудит для операции записи в файл, в процессе записи в файл будет создан аудит операции.

Аудиты операций классифицируются аналогично аудитам объектов, и помечаются как событие № 567. Аудиты операций создаются при первом проведении операции. Только файлы и папки могут быть настроены на создание ау-дитов операций.

Задание к лабораторной работе и перечень контрольных вопросов представлены в Приложении 4, Таблица 5. 5.

Регистрация событий

В операционной системе Windows 2000 событием называется любое значительное происшествие в работе системы или приложения, о котором следует уведомить пользователей. В случае возникновения критических событий, таких как переполнение диска сервера или неполадки с электропитанием, на экран монитора будет выведено соответствующее сообщение. Остальные события, которые не требуют немедленных действий от пользователя, регистрируются в системных журналах. Служба регистрации событий в системных журналах активизируется автоматически при каждом запуске системы Windows 2000.

В системе Windows 2000 для просмотра системных журналов можно использовать оснастку Просмотр событий. Эту оснастку можно также запустить из окна оснастки Управление компьютером. На рис. 1 - "Окно оснастки Просмотр" событий показан пример оснастки Просмотр событий.

Рис. 1 - Окно оснастки "Просмотр"

В окне просмотра событий ведутся журналы программных, системных событий, а также событий безопасности на компьютере. Окно просмотра событий используется для просмотра журналов событий и управления ими, получения сведений о неполадках аппаратного и программного обеспечения, а также для наблюдения за событиями безопасности Windows.

С помощью оснастки Просмотр событий можно просматривать три типа стандартных (основных) журналов:

1) Журнал приложений – фиксирует события, зарегистрированные приложениями. Например текстовый редактор может зарегистрировать, в данном журнале ошибку при открытии файла;
2) Журнал системы – записывает события, которые регистрируются системными компонентами Windows 2000. Например, в системный журнал записываются такие события, как сбой в процессоре загрузки драйвера или другого системного компонента при запуске системы;
3) Журнал безопасности – содержит записи, связанные с системой безопасности. С помощью этого журнала можно отслеживать изменения в системе безопасности и идентифицировать бреши в защите. В данном журнале можно регистрировать попытки входа в систему. Для просмотра журнала необходимо иметь права администратора. По умолчанию регистрация событий в журнале событий безопасности отключена.

Типы и параметры событий

В журналах регистрируются следующие типы событий:

а) Ошибка – событие регистрируется в случае возникновения серьезного события (таких как потеря данных или функциональных возможностей). Событие данного типа будет зарегистрировано, если невозможно загрузить какой-либо из сервисов в ходе запуска системы;

б) Предупреждение – событие не является серьезным, но может привести к возникновению проблем в будущем. Например, если недостаточно дискового пространства, то будет зарегистрировано предупреждение;

в) Уведомление – значимое событие, которое свидетельствует об успешном завершении операции приложением, драйвером или сервисом. Такое событие может, например, зарегистрировать успешно загрузившийся сетевой драйвер;

г) Аудит успехов – событие, связанное с безопасностью системы. Примером такого события является успешная попытка регистрации пользователя в системе;

д) Аудит отказов – событие, связанное с безопасностью системы.

Информация о событиях содержит параметры, приведенные в таблице 1 (рисунок 10 Дополнительная информация о событии).

Таблица №1.

Параметр события	Описание
Тип	Тип события
Дата	Дата регенерации события
Время	Время регистрации события
Источник	Источник (имя программы, системного компонента или компонента приложения), который при-вел к регистрации события
Категория	Классификация события по источнику, вызвавшему его появление
Событие	Идентификатор события
Пользователь	Имя учетной записи пользователя, от имени которого производились действия, вызвавшие гене-рацию события
Компьютер	Компьютер, на котором зарегистрировано событие

Просмотр событий на другом компьютере

Для просмотра событий на другом компьютере следует добавить дополнительный экземпляр оснастки Просмотр событий:

1. Запустить консоль MMC;
2. В меню Консоль выбрать пункт Добавить/Удалить оснастку;
3. Перейти на вкладку Изолированная оснастка и нажать кнопку Добавить;
4. Выбрать пункт Просмотр событий и нажать кнопку OK;
5. Нажать кнопку Другим компьютером и ввести имя удаленного компьютера;
6. Нажать кнопку готово.

В начало страницы