Рекомендации по параметрам аудита MS Windows

Для полноценной работы Платформы Alertix необходимо обеспечить регистрацию в журналах Windows событий, требующихся для анализа состояния системы и ее поведения. Это весьма широкий набор событий. Их можно разделить на несколько классов:

  • События, связанные с регистрацией подключения пользователя к системе;

  • События изменения полномочий пользователей в системе: создание новых учетных записей, изменение членства в группах безопасности, блокировка учетных записей, изменение паролей;

  • События, связанные с созданием в системе ресурсов общего доступа (например, общих папок) и события предоставления доступа к ним;

  • События, связанные с подключением к системе внешних носителей информации;

  • События, связанные с изменением сетевых настроек системы, включения новых сетевых интерфейсов, изменения правил локального файервола, открытием портов в режиме "слушатель";

  • События, связанные с запуском новых процессов, загрузкой динамических библиотек, установкой в системе новых сервисов, доступом одних процессов к ресурсам других процессов, созданием процессами named pipes или установкой сетевых соединений;

  • События, связанные с модификацией ключей реестра.

Часть этих событий регистрируется сервисом Sysmon, часть - подсистемой аудита Windows. Конфигурация Sysmon обеспечивается непосредственно из консоли. Конфигурацию подсистемы аудита Windows следует настраивать групповыми политиками.

В данной инструкции предлагается создать две групповые политики для настройки расширенного аудита безопасности, поскольку часть подкатегорий аудита применима только для серверов с ролью контролера домена.

  • "Audit Policy Common" - для рабочих станций и серверов;

  • "Audit Policy for Domain Controllers" - для контролеров домена.

В случае необходимости распространения параметров аудита на весь домен, пропустите этот шаг и используйте политики "Default Domain Policy" и "Default Domain Controllers Policy".

  1. Запустите редактор групповой политики, нажав сочетание клавиш "Win+R" и выполнив команду gpmc.msc.

  2. В окне "Group Policy Management" (Редактор управления групповыми политиками) перейдите в домен источников событий Windows.

  3. Нажмите правую кнопку мыши на пункте "Group Policy Object" (Объекты групповой политики) и выберите "New" (Создать).

image
Рисунок 1.

  1. Задайте политике имя - "Audit Policy Common" и нажмите "OK".

  2. Создайте вторую политику, повторив действия и задав политике имя – "Audit Policy for Domain Controllers".

Настройка политики аудита определяет перечень типов событий, которые будут регистрироваться на источниках данных. Типы и коды (ID) соответствующих событий содержит таблица в конце раздела.