23. Аудит объектов

• Включить аудит Object Access для всех пользователей в политике домена для обеих типов событий ( успешных и нет)

• Выполнить применение политики домена командой secedit

• Создать папку aud на томе NTFS

• В свойствах папки aud – security – advanced – Audit включить аудит чтения папки и записи в нее для администраторов

• Войти в папку и создать в ней подпапку и выйти

• Просмотреть журнал Security – найти в нем событии я по чтению папки и по записи в нее.

Просмотр событий аудита

Для просмотра событий используется программа Event Viewer.

Меню Action при выбранном журнале

Save as - запись архива журнала

Open - открытие архива журнала

Clear All Events - очистка журнала

Select computer - выбор компьютера, для которого просмотреть журналы

свойства журнала:

Maximum log size максимальный размер журнала.

Overwrite Events as Needed стирание и начало новой записи журнала при его переполнении автоматически

Overwrite Events Older ..days перезапись журнала через ... дней. Если до этого он будет заполнен, то просто перестанет заполняться.

Do not overwrite... перезапись журнала администратором вручную

флаг Low speed Connection - обязательно должен быть включен, если журналы просматриваются на компьютере, доступ к которому через модем ( медленное соединение)

filter find

фильтрация событий поиск событий

Меню View

В обеих окнах этих пунктов можно задать:

from и To даты для начала фильтра (или поиска) событий и конца.

Event Types тип события: для System(информ, предупр, ошибки) и для Security (успешн и неуспешн)

Sourse источник: программа, драйвер или политика аудита, вызвавшие событие. Для аудита выбрать Security

Category категория события согласно политике аудита системы (Account Logon Events...)

Event ID код события согласно кодировке в системе ( если вам известен)

User имя пользователя, с которым связано событие

Computer имя компьютера, с которым связано событие

24. Фильтрация событий в журнале, очистка

• Открыть журнал аудита и открыть меню View – filter

• Поочередно включать: успешные события, неуспешные и просматривать что осталось в окне

• События для администратора и для пользователя

• События по дате и времени

• Выбрать фильтр по вашему желанию

• Очистить все события в журнале : Action – Clear all events

Самостоятельная работа на закрепление:

• Назначение системы аудита, какие по смыслу события можно отслеживать с помощью аудита?

• Какие есть системные журналы для записей системных событий и какой программой можно их просмотреть. Какое из этих журналов используется системой аудита?

Занятие 20 .Практическая работа 2 [Group Policy, Audit]

1. Установите минимальную длину пароля в 3 символа, а его минимальный возраст - в 2 дня.

Разрешите группе Users добавлять компьютеры в домен и завершать работу компьютера, а группе Everyone разрешите интерактивный вход.

Включите очистку файла подкачки при завершении работы и переименуйте учетную запись Administrator в admin (из Security Policy).

2. Создайте организационное подразделение unit1 и настройте для него следующее:

• уберите доступ к Folder Options из меню Tools;

• запретите подключение сетевого диска;

• уберите пункты Favourites, Search и Run из меню “Start” и добавьте туда Logoff;

• уберите значок My Documents с рабочего стола и из меню “Start”;

• запретите удаление принтеров, доступ к закладке Settings и Appearance из “Display properties” и установку/удаление программ;

• запретите доступ ко всем утилитам редактиования реестра и разрешите пользователям запускать только notepad.exe;

• запретите доступ к Task Manager и Change Password