17. Розширена конфігурація політики аудиту

17.1.1 Переконайтеся, що для параметра «Перевірка облікових даних аудиту» встановлено значення «Успіх і невдача» (Автоматизовано)

Ця підкатегорія повідомляє про результати перевірки облікових даних, поданих для a запит на вхід до облікового запису користувача. Ці події відбуваються на комп’ютері, який є авторитетним для облікові дані. Для облікових записів домену контролер домену є авторитетним, тоді як для локальних облікових записів авторитетним є локальний комп’ютер. У доменних середовищах більшість події входу в обліковий запис відбуваються в журналі безпеки контролерів домену, які є авторитетний для облікових записів домену. Однак ці події можуть відбуватися і на інших комп’ютери в організації, коли для входу використовуються локальні облікові записи. Події для цього підкатегорія включає: • 4774: обліковий запис зіставлено для входу. • 4775: Не вдалося зіставити обліковий запис для входу. • 4776: контролер домену спробував перевірити облікові дані для рахунок. • 4777: контролеру домену не вдалося перевірити облікові дані для облікового запису. Рекомендований стан для цього параметра: успіх і невдача.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульованих галузях, можуть мати юридичні зобов’язання щодо реєстрації певні події чи заходи.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.1.2 Переконайтеся, що для параметра «Аудит служби автентифікації Kerberos» встановлено значення «Успіх і невдача» (лише DC) (Автоматизовано)

Ця підкатегорія звітує про результати подій, згенерованих після автентифікації Kerberos Запит TGT. Kerberos — це служба розподіленої автентифікації, яка дозволяє клієнту працювати від імені користувача, щоб підтвердити свою особу серверу без надсилання даних через нього мережі. • 4768: надійшов запит на квиток автентифікації Kerberos (TGT). • 4771: Помилка попередньої автентифікації Kerberos. • 4772: Помилка запиту автентифікації Kerberos. Рекомендований стан для цього параметра: успіх і невдача.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у організації, інциденти безпеки можуть не бути виявлені, або буде недостатньо доказів доступний для судового аналізу мережі після виникнення інцидентів безпеки. Однак якщо аудит параметри занадто суворі, критично важливі записи в журналі безпеки можуть бути приховані за всіма безглуздими записами та продуктивністю комп’ютера та доступною сумою збереження даних може серйозно постраждати. Компанії, які працюють у певних регульованих галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.1.3 Переконайтеся, що для параметра «Аудит операцій із запитами служби Kerberos» встановлено значення «Успіх і невдача» (лише DC) (Автоматизовано)

Ця підкатегорія звітує про результати подій, згенерованих автентифікацією Kerberos запити на надання квитків (TGT). Запити на квитки служби Kerberos (запити TGS) відбуваються як частина запитів на використання служби та доступу певними обліковими записами. Аудит цих події записуватимуть IP-адресу, з якої обліковий запис запитував TGS, коли TGS і який тип шифрування використовувався. • 4769: надійшов запит на квиток служби Kerberos. • 4770: Квиток служби Kerberos поновлено. • 4773: Помилка запиту квитка служби Kerberos. Рекомендований стан для цього параметра: успіх і невдача.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.2.1 Переконайтеся, що для параметра «Керування групою програм аудиту» встановлено значення «Успіх і невдача» (Автоматизовано)

Цей параметр політики дозволяє перевіряти події, створені змінами програми такі групи, як: • Група додатків створюється, змінюється або видаляється. • Учасник додається або видаляється з групи програми. Групи програм використовуються диспетчером авторизації Windows, який є гнучким фреймворк, створений Microsoft для інтеграції керування доступом на основі ролей (RBAC). програми. Більше інформації про диспетчер авторизації Windows доступно на MSDN – Менеджер авторизації Windows. Рекомендований стан для цього параметра: успіх і невдача. Примітка. Незважаючи на те, що Microsoft «застаріла» Windows Authorization Manager (AzMan) у Windows Server 2012 і 2012 R2 ця функція все ще існує в ОС (не покращена) і тому слід ще перевірити.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.2.2 Переконайтеся, що «Аудит керування обліковими записами комп’ютера» налаштовано на «Успіх» (лише DC) (Автоматизовано)

Ця підкатегорія повідомляє про кожну подію керування обліковим записом комп’ютера, наприклад коли обліковий запис комп’ютера створюється, змінюється, видаляється, перейменовується, вимикається або вмикається. Події цієї підкатегорії включають: • 4741: створено обліковий запис комп’ютера. • 4742: обліковий запис комп’ютера змінено. • 4743: обліковий запис комп’ютера видалено. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.2.3 Переконайтеся, що «Аудит керування групою розповсюдження» налаштовано на «Успіх» (лише DC) (Автоматизовано)

Ця підкатегорія повідомляє про кожну подію керування групою розсилки, наприклад, коли a групу розсилки створюється, змінюється або видаляється, або коли учасник додається до або видалено з групи розсилки. Якщо ви ввімкнете цей параметр політики аудиту, адміністратори може відстежувати події для виявлення зловмисного, випадкового та авторизованого створення групи облікові записи. Події цієї підкатегорії включають: • 4744: створено локальну групу з вимкненим захистом. • 4745: локальну групу з вимкненим захистом було змінено. • 4746: учасника додано до локальної групи з вимкненою безпекою. • 4747: учасника було видалено з локальної групи з вимкненою безпекою. • 4748: локальну групу з вимкненим захистом було видалено. • 4749: створено глобальну групу з вимкненим захистом. • 4750: Глобальну групу з вимкненим захистом було змінено. • 4751: учасника додано до глобальної групи з вимкненою безпекою. • 4752: учасника було вилучено з глобальної групи з вимкненою безпекою. • 4753: Глобальну групу з вимкненою безпекою було видалено. • 4759: створено універсальну групу з вимкненим захистом. • 4760: змінено універсальну групу з вимкненим захистом. • 4761: учасника додано до універсальної групи з вимкненою безпекою. • 4762: учасника було видалено з універсальної групи з вимкненою безпекою. • 4763: Універсальну групу з вимкненою безпекою було видалено. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.2.4 Переконайтеся, що параметр «Аудит інших подій керування обліковим записом» включає «Успіх» (лише DC) (Автоматизовано)

Ця підкатегорія повідомляє про інші події керування обліковим записом. Події для цього підкатегорія включає: • 4782: доступ до хешу пароля облікового запису. • 4793: було викликано API перевірки політики паролів. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.2.5 Переконайтеся, що «Аудит керування групою безпеки» налаштовано на «Успіх» (Автоматизовано)

Ця підкатегорія повідомляє про кожну подію керування групою безпеки, наприклад, коли a групу безпеки створюється, змінюється або видаляється, або коли учасник додається до або видалено з групи безпеки. Якщо ви ввімкнете цей параметр політики аудиту, адміністратори може відстежувати події для виявлення зловмисного, випадкового та авторизованого створення безпеки групові облікові записи. Події цієї підкатегорії включають: • 4727: створено глобальну групу з підтримкою безпеки. • 4728: учасника додано до глобальної групи з підтримкою безпеки. • 4729: члена було видалено з глобальної групи з увімкненою системою безпеки. • 4730: Глобальну групу з підтримкою безпеки видалено. • 4731: створено локальну групу з підтримкою безпеки. • 4732: учасника додано до локальної групи з увімкненою системою безпеки. • 4733: члена було видалено з локальної групи з увімкненою системою безпеки. • 4734: локальну групу з увімкненим захистом було видалено. • 4735: локальну групу з увімкненим захистом було змінено. • 4737: глобальну групу з підтримкою безпеки було змінено. • 4754: створено універсальну групу з підтримкою безпеки. • 4755: змінено універсальну групу з підтримкою безпеки. • 4756: учасника додано до універсальної групи з підтримкою безпеки. • 4757: учасника було видалено з універсальної групи з підтримкою безпеки. • 4758: видалено універсальну групу з підтримкою безпеки. • 4764: тип групи було змінено. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.2.6 Переконайтеся, що для параметра «Аудит керування обліковими записами користувачів» встановлено значення «Успіх і невдача» (Автоматизовано)

Ця підкатегорія повідомляє про кожну подію керування обліковим записом користувача, наприклад, коли a обліковий запис користувача створюється, змінюється або видаляється; обліковий запис користувача перейменовано, вимкнено або включений; або встановлено або змінено пароль. Якщо ви ввімкнете це налаштування політики аудиту, адміністратори можуть відстежувати події, щоб виявити зловмисне, випадкове та авторизоване створення облікових записів користувачів. Події цієї підкатегорії включають: • 4720: створено обліковий запис користувача. • 4722: обліковий запис користувача було ввімкнено. • 4723: була зроблена спроба змінити пароль облікового запису. • 4724: була зроблена спроба скинути пароль облікового запису. • 4725: обліковий запис користувача вимкнено. • 4726: обліковий запис користувача видалено. • 4738: обліковий запис користувача змінено. • 4740: обліковий запис користувача заблоковано. • 4765: до облікового запису додано історію SID. • 4766: не вдалося додати історію SID до облікового запису. • 4767: обліковий запис користувача розблоковано. • 4780: ACL встановлено для облікових записів, які є членами адміністраторів групи. • 4781: змінено назву облікового запису: • 4794: була зроблена спроба встановити режим відновлення служб каталогів. • 5376: було створено резервну копію облікових даних Credential Manager. • 5377: облікові дані диспетчера облікових даних відновлено з резервної копії. Рекомендований стан для цього параметра: успіх і невдача.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.3.1 Переконайтеся, що «Аудит PNP активності» налаштовано на «Успіх» (Автоматизовано)

Цей параметр політики дозволяє перевіряти, коли plug and play виявляє зовнішній пристрій. Рекомендований стан для цього параметра: Успіх. Примітка: для доступу та налаштування цього значення потрібна ОС Windows 10, Server 2016 або новіша у груповій політиці.

Увімкнення цього параметра дозволить користувачеві перевіряти події, коли пристрій підключено до система. Це може допомогти попередити ІТ-спеціаліст, якщо підключено несхвалені пристрої. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.3.2 Переконайтеся, що «Створення процесу аудиту» налаштовано на «Успіх» (Автоматизовано)

Ця підкатегорія повідомляє про створення процесу та назву програми або користувача що створив його. Події цієї підкатегорії включають: • 4688: створено новий процес. • 4696: для процесу призначено основний маркер. Зверніться до статті бази знань Microsoft Knowledge Base 947226: Опис подій безпеки в Windows Vista та Windows Server 2008, щоб отримати найновішу інформацію про це налаштування. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.4.1 Переконайтеся, що параметр «Аудит доступу до служби каталогу» включає «Помилка» (лише DC) (Автоматизовано)

Ця підкатегорія повідомляє про доступ до об’єкта AD DS. Лише об’єкти з SACL викликають генерацію подій аудиту, і лише тоді, коли доступ до них здійснюється таким чином відповідає їх SACL. Ці події подібні до подій доступу до служби каталогів у попередні версії Windows Server. Ця підкатегорія стосується лише домену Контролери. Події цієї підкатегорії включають: • 4662: над об’єктом виконано операцію. Рекомендований стан для цього параметра включати: Помилка.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.4.2 Переконайтеся, що параметр «Зміни служби каталогу аудиту» включає «Успіх» (лише DC) (Автоматизовано)

Ця підкатегорія повідомляє про зміни в об’єктах у доменних службах Active Directory (AD DS). Типи змін, про які повідомляється: створити, змінити, перемістити та відновити видалення операції, які виконуються над об’єктом. Аудит змін DS, якщо це необхідно, вказує на старі та нові значення змінених властивостей об’єктів, які були змінено. Лише об’єкти з SACL викликають генерацію подій аудиту, і лише коли доступ до них здійснюється у спосіб, який відповідає їх SACL. Деякі об’єкти та властивості не спричиняти генерацію подій аудиту через параметри класу об’єктів у схема. Ця підкатегорія стосується лише контролерів домену. Події для цього підкатегорія включає: • 5136: об’єкт служби каталогів було змінено. • 5137: створено об’єкт служби каталогів. • 5138: Об’єкт служби каталогів було відновлено. • 5139: об’єкт служби каталогів переміщено. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.5.1 Переконайтеся, що параметр «Аудит блокування облікового запису» включає «Помилка» (Автоматизовано)

Ця підкатегорія повідомляє, коли обліковий запис користувача заблоковано через занадто багато невдалі спроби входу. Події цієї підкатегорії включають: • 4625: не вдалося ввійти в обліковий запис. Рекомендований стан для цього параметра включати: Помилка.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.5.2 Переконайтеся, що «Членство в групі аудиту» включає «Успіх» (Автоматизовано)

Ця політика дозволяє перевіряти інформацію про членство в групі під час входу користувача жетон. Події цієї підкатегорії генеруються на комп’ютері, на якому виконується вхід створено сеанс. Для інтерактивного входу подія перевірки безпеки генерується на комп’ютер, на якому користувач увійшов. Для входу в мережу, наприклад доступу до спільного папку в мережі, подія аудиту безпеки генерується на комп’ютері, на якому розміщено ресурс. Рекомендований стан для цього параметра: Успіх. Примітка: для доступу та налаштування цього значення потрібна ОС Windows 10, Server 2016 або новіша у груповій політиці.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.5.3 Переконайтеся, що для «Аудиторського виходу» встановлено значення «Успіх» (Автоматизовано)

Ця підкатегорія повідомляє, коли користувач виходить із системи. Ці події відбуваються на комп’ютер, до якого здійснюється доступ. Для інтерактивних входів відбувається генерація цих подій на комп’ютері, на якому виконано вхід. Якщо вхід у мережу відбувається для доступу до спільного ресурсу, ці події генеруються на комп’ютері, на якому розміщено доступний ресурс. Якщо ви налаштуйте цей параметр на Без аудиту, важко або неможливо визначити, який користувач отримував доступ або намагався отримати доступ до комп’ютерів організації. Події для цього підкатегорія включає: • 4634: вийшов з облікового запису. • 4647: вихід із системи за ініціативою користувача. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.5.4 Переконайтеся, що для «Аудиторського входу» встановлено значення «Успіх і невдача» (Автоматизовано)

Ця підкатегорія повідомляє, коли користувач намагається увійти в систему. Ці події відбуваються на комп’ютері, до якого здійснюється доступ. Для інтерактивних входів, генерація цих подій відбувається на комп’ютері, на якому виконано вхід. Якщо для доступу до a спільний доступ, ці події генеруються на комп’ютері, на якому розміщено доступний ресурс. Якщо ви налаштуйте цей параметр на Без аудиту, важко або неможливо визначити, який користувач отримував доступ або намагався отримати доступ до комп’ютерів організації. Події для цього підкатегорія включає: • 4624: успішно ввійшли в обліковий запис. • 4625: не вдалося ввійти в обліковий запис. • 4648: була спроба входу з використанням явних облікових даних. • 4675: SID відфільтровано. Рекомендований стан для цього параметра: успіх і невдача.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.5.5 Переконайтеся, що для параметра «Аудит інших подій входу/виходу» встановлено значення «Успіх і невдача» (Автоматизовано)

Ця підкатегорія повідомляє про інші події, пов’язані з входом/виходом із системи, наприклад віддалений робочий стіл Сеанс служб відключається та повторно підключається, використовуючи RunAs для запуску процесів під a інший обліковий запис, а також блокування та розблокування робочої станції. Події для цієї підкатегорії включають: • 4649: виявлено повторну атаку. • 4778: Сеанс було повторно підключено до Window Station. • 4779: Сеанс було відключено від Window Station. • 4800: робочу станцію було заблоковано. • 4801: робочу станцію було розблоковано. • 4802: Викликана заставка. • 4803: екранну заставку було закрито. • 5378: запитане делегування повноважень було заборонено політикою. • 5632: зроблено запит на автентифікацію в бездротовій мережі. • 5633: зроблено запит на автентифікацію в дротовій мережі. Рекомендований стан для цього параметра: успіх і невдача.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.5.6 Переконайтеся, що параметр «Аудит спеціального входу» включає «Успіх» (Автоматизовано)

Ця підкатегорія повідомляє, коли використовується спеціальний вхід. Спеціальний вхід — це вхід, який має еквівалентні права адміністратора і може бути використаний для підвищення рівня процесу рівень. Події цієї підкатегорії включають: • 4964: для нового входу призначено спеціальні групи. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.6.1 Переконайтеся, що параметр «Аудит детального спільного використання файлів» включає «Помилка» (Автоматизовано)

Ця підкатегорія дозволяє перевіряти спроби доступу до файлів і папок на спільному ресурсі папку. Події цієї підкатегорії включають: • 5145: перевірено мережевий спільний об’єкт, щоб побачити, чи можна надати клієнту бажаний доступ. Рекомендований стан для цього параметра включати: Помилка

Аудит помилок реєструватиме, які неавторизовані користувачі намагалися (і не змогли) отримати доступ до файлу чи папки на спільному мережевому ресурсі на цьому комп’ютері, що може бути ознака зловмисного наміру. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.6.2 Переконайтеся, що для параметра «Аудит спільного використання файлів» встановлено значення «Успіх і невдача» (Автоматизовано)

Цей параметр політики дозволяє перевіряти спроби доступу до спільної папки. Рекомендований стан для цього параметра: успіх і невдача. Примітка. Для спільних папок немає системних списків керування доступом (SACL). Якщо ця політика параметр увімкнено, доступ до всіх спільних папок у системі перевіряється.

У корпоративному керованому середовищі важливо відстежувати видалення, створення, модифікація та події доступу до спільних мережевих ресурсів. Будь-яка незвичайна діяльність із обміну файлами може бути корисним у розслідуванні потенційно зловмисної діяльності. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.6.3 Переконайтеся, що для параметра «Аудит інших подій доступу до об’єктів» встановлено значення «Успіх і невдача» (Автоматизовано)

Цей параметр політики дозволяє перевіряти події, створені керуванням завданням завдання планувальника або об’єкти COM+. Для завдань планувальника перевіряються: • Робота створена. • Роботу видалено. • Робота включена. • Робота вимкнена. • Вакансія оновлена. Для об’єктів COM+ перевіряються: • Об’єкт каталогу додано. • Об’єкт каталогу оновлено. • Об’єкт каталогу видалено. Рекомендований стан для цього параметра: успіх і невдача.

Несподіване створення запланованих завдань і об’єктів COM+ потенційно може бути причиною ознака шкідливої діяльності. Оскільки ці типи дій зазвичай невеликі, це може бути корисним для запису їх у журнали аудиту для використання під час розслідування. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.6.4 Переконайтеся, що для параметра «Аудит знімного сховища» встановлено значення «Успіх і невдача» (Автоматизовано)

Цей параметр політики дозволяє перевіряти спроби користувачів отримати доступ до об’єктів файлової системи на a знімний накопичувач. Подія аудиту безпеки генерується лише для всіх об’єктів для всіх запитуваних типів доступу. Якщо налаштувати цей параметр політики, подія аудиту є генерується кожного разу, коли обліковий запис отримує доступ до об’єкта файлової системи на знімному носії. Аудити успіху фіксують успішні спроби, а аудити невдач — невдалі спроби. Якщо ви не налаштуєте цей параметр політики, подія аудиту не генеруватиметься під час обліковий запис отримує доступ до об’єкта файлової системи на знімному носії. Рекомендований стан для цього параметра: успіх і невдача. Примітка. Для доступу та налаштування потрібна ОС Windows 8.0, Server 2012 (не R2) або новіша. це значення в груповій політиці.

Аудит знімного сховища може бути корисним під час розслідування інциденту. Наприклад, якщо особу підозрюють у копіюванні конфіденційної інформації на USB-накопичувач. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.7.1 Переконайтеся, що параметр «Зміна політики аудиту аудиту» включає «Успіх» (Автоматизовано)

Ця підкатегорія повідомляє про зміни в політиці аудиту, включаючи зміни SACL. Події для ця підкатегорія включає: • 4715: змінено політику аудиту (SACL) для об’єкта. • 4719: політику системного аудиту змінено. • 4902: створено таблицю політики аудиту для кожного користувача. • 4904: була зроблена спроба зареєструвати джерело події безпеки. • 4905: була зроблена спроба скасувати реєстрацію джерела подій безпеки. • 4906: змінено значення CrashOnAuditFail. • 4907: параметри аудиту об’єкта змінено. • 4908: змінено таблицю входу в систему спеціальних груп. • 4912: політику аудиту кожного користувача змінено. Рекомендований стан для цього параметра: Успішно.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.7.2 Переконайтеся, що параметр «Зміна політики перевірки автентифікації» включає «Успіх» (Автоматизовано)

Ця підкатегорія повідомляє про зміни в політиці автентифікації. Події для цієї підкатегорії включають: • 4706: для домену створено нову довіру. • 4707: довіру до домену видалено. • 4713: політику Kerberos змінено. • 4716: інформацію про довірений домен було змінено. • 4717: обліковому запису надано доступ до системи безпеки. • 4718: для облікового запису видалено доступ до системи безпеки. • 4739: політику домену змінено. • 4864: виявлено конфлікт простору імен. • 4865: додано надійний запис інформації про ліс. • 4866: видалено запис інформації про надійний ліс. • 4867: інформаційний запис надійного лісу було змінено. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.7.3 Переконайтеся, що параметр «Зміна політики авторизації аудиту» включає «Успіх» (Автоматизовано)

Ця підкатегорія повідомляє про зміни в політиці авторизації. Події для цієї підкатегорії включають: • 4703: було скориговано право користувача. • 4704: було призначено право користувача. • 4705: Права користувача видалено. • 4670: дозволи на об’єкт змінено. • 4911: атрибути ресурсів об’єкта змінено. • 4913: центральну політику доступу до об’єкта було змінено. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.7.4 Переконайтеся, що для параметра «Зміна політики на рівні правил аудиту MPSSVC» встановлено значення «Успіх і невдача» (Автоматизовано)

Ця підкатегорія визначає, чи генерує операційна система події аудиту коли вносяться зміни до правил політики для Microsoft Protection Service (MPSSVC.exe). Події цієї підкатегорії включають: • 4944: наступна політика була активна під час запуску брандмауера Windows. • 4945: під час запуску брандмауера Windows було зазначено правило. • 4946: внесено зміни до списку винятків брандмауера Windows. Правило було додано. • 4947: внесено зміни до списку винятків брандмауера Windows. Правило було змінений. • 4948: внесено зміни до списку винятків брандмауера Windows. Правило було видалено. • 4949: параметри брандмауера Windows відновлено до значень за замовчуванням. • 4950: змінено налаштування брандмауера Windows. • 4951: Правило було проігноровано, оскільки його номер основної версії не вказано розпізнається брандмауером Windows. • 4952: Частини правила було проігноровано, оскільки номер його другорядної версії був не розпізнається брандмауером Windows. Інші частини правила будуть виконуватися. • 4953: брандмауер Windows проігнорував правило, оскільки його не вдалося проаналізувати правило. • 4954: параметри групової політики брандмауера Windows змінено. Нові налаштування були застосовані. • 4956: брандмауер Windows змінив активний профіль. • 4957: брандмауер Windows не застосував таке правило. • 4958: брандмауер Windows не застосував це правило, оскільки правило посилалося до елементів, не налаштованих на цьому комп’ютері. Рекомендований стан для цього параметра: успіх і невдача

Зміни в правилах брандмауера важливі для розуміння стану безпеки комп’ютер і наскільки добре він захищений від мережевих атак. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.7.5 Переконайтеся, що параметр «Аудит інших подій зміни політики» включає «Помилка» (Автоматизовано)

Ця підкатегорія містить події про зміни в політиці EFS Data Recovery Agent, зміни у фільтрі платформи фільтрації Windows, стан оновлень параметрів політики безпеки для налаштувань локальної групової політики, змін центральної політики доступу та детально події усунення несправностей для операцій Cryptographic Next Generation (CNG). • 5063: була спроба виконати операцію криптографічного постачальника. • 5064: була спроба виконати криптографічний контекст. • 5065: була зроблена спроба модифікації криптографічного контексту. • 5066: була спроба виконати операцію криптографічної функції. • 5067: була зроблена спроба модифікації криптографічної функції. • 5068: була спроба виконати операцію постачальника криптографічної функції. • 5069: була спроба виконати операцію властивості криптографічної функції. • 5070: була зроблена спроба змінити властивість криптографічної функції. • 6145: під час обробки політики безпеки в групі сталася одна або кілька помилок об’єкти політики. Рекомендований стан для цього параметра включати: Помилка.

Цей параметр може допомогти виявити помилки в застосованих параметрах безпеки, які надійшли від групи Політика та події збою, пов’язані з функціями Cryptographic Next Generation (CNG). Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.8.1 Переконайтеся, що для параметра «Використання чутливих привілеїв аудиту» встановлено значення «Успіх» (Автоматизовано)

Ця підкатегорія повідомляє, коли обліковий запис користувача або служба використовує конфіденційні привілеї. А конфіденційні права включають такі права користувача: • Діяти як частина операційної системи • Резервне копіювання файлів і каталогів • Створіть об’єкт маркера • Налагодження програм • Увімкніть облікові записи комп’ютерів і користувачів як довірені для делегування • Створення аудитів безпеки • Видавати себе за клієнта після автентифікації • Завантаження та вивантаження драйверів пристроїв • Керуйте журналом аудиту та безпеки • Змініть значення середовища мікропрограми • Замініть маркер рівня процесу • Відновлення файлів і каталогів • Взяти право власності на файли чи інші об’єкти Аудит цієї підкатегорії створить великий обсяг подій. Події для цього підкатегорія включає: • 4672: Спеціальні привілеї, призначені новому входу. • 4673: була викликана пільгова служба. • 4674: була спроба виконати операцію з привілейованим об’єктом. Рекомендований стан для цього параметра: успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.9.1 Переконайтеся, що для параметра «Аудит драйвера IPsec» встановлено значення «Успіх і невдача» (Автоматизовано)

Ця підкатегорія повідомляє про діяльність драйвера безпеки протоколу Інтернету (IPsec). Події цієї підкатегорії включають: • 4960: IPsec скинув вхідний пакет, який не пройшов перевірку цілісності. Якщо це проблема не зникає, це може свідчити про проблему з мережею або про те, що надходять пакети змінено під час передачі на цей комп’ютер. Переконайтеся, що пакети надіслано з дистанційного керування комп’ютера такі самі, як отримані цим комп’ютером. Ця помилка також може вказують на проблеми взаємодії з іншими реалізаціями IPsec. • 4961: IPsec скинув вхідний пакет, який не пройшов перевірку повтору. Якщо ця проблема зберігається, це може свідчити про повторну атаку на цей комп’ютер. • 4962: IPsec скинув вхідний пакет, який не пройшов перевірку повтору. Вхідний пакет мав занадто низький порядковий номер, щоб переконатися, що це не повторне відтворення. • 4963: IPsec скинув вхідний пакет відкритого тексту, який мав бути забезпечені. Зазвичай це відбувається через те, що віддалений комп’ютер змінює свою політику IPsec без інформування цього комп’ютера. Це також може бути спроба спуфінгу. • 4965: IPsec отримав пакет від віддаленого комп’ютера з неправильною безпекою Індекс параметрів (SPI). Зазвичай це спричинено несправністю апаратного забезпечення пошкодження пакетів. Якщо ці помилки не зникають, переконайтеся, що пакети, надіслані з на віддаленому комп’ютері такі самі, як отримані цим комп’ютером. Ця помилка також може вказувати на проблеми взаємодії з іншими реалізаціями IPsec. в У цьому випадку, якщо підключення не перешкоджає, ці події можна ігнорувати. • 5478: служби IPsec успішно запущено. • 5479: служби IPsec успішно завершено. Вимкнення IPsec Служби можуть наражати комп’ютер на більший ризик мережевої атаки або викрити комп’ютер до потенційних ризиків безпеці. • 5480: службам IPsec не вдалося отримати повний список мережевих інтерфейсів на комп’ютер. Це створює потенційну загрозу безпеці, оскільки деякі з мережі інтерфейси можуть не отримати захисту, який забезпечують застосовані фільтри IPsec. використання оснащення IP Security Monitor, щоб діагностувати проблему. • 5483: службам IPsec не вдалося ініціалізувати сервер RPC. Служби IPsec не могли бути почався.

• 5484: у службах IPsec сталася критична помилка, і їх було закрито. Вимкнення служб IPsec може піддати комп’ютер більшому ризику для мережі атакувати або піддавати комп’ютер потенційним ризикам безпеці. • 5485: службам IPsec не вдалося обробити деякі фільтри IPsec у режимі plug-and-play подія для мережевих інтерфейсів. Це створює потенційний ризик для безпеки, оскільки деякі мережевих інтерфейсів може не отримати захист, який забезпечує застосована Фільтри IPsec. Використовуйте оснастку IP Security Monitor, щоб діагностувати проблему. Рекомендований стан для цього параметра: успіх і невдача.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.9.2 Переконайтеся, що для параметра «Аудит інших системних подій» встановлено значення «Успіх і невдача» (Автоматизовано)

Ця підкатегорія повідомляє про інші системні події. Події цієї підкатегорії включають: • 5024: Служба брандмауера Windows успішно запущена. • 5025: Службу брандмауера Windows зупинено. • 5027: Службі брандмауера Windows не вдалося отримати політику безпеки з локального сховища. Сервіс продовжуватиме дотримуватись поточної політики. • 5028: Служба брандмауера Windows не змогла проаналізувати новий захист політики. Служба продовжуватиме діяти відповідно до поточної політики. • 5029: Службі брандмауера Windows не вдалося ініціалізувати драйвер. Служба буде продовжувати дотримуватись поточної політики. • 5030: не вдалося запустити службу брандмауера Windows. • 5032: брандмауер Windows не зміг повідомити користувача про блокування програма не приймає вхідні підключення до мережі. • 5033: Драйвер брандмауера Windows успішно запущено. • 5034: драйвер брандмауера Windows зупинено. • 5035: Не вдалося запустити драйвер брандмауера Windows. • 5037: драйвер брандмауера Windows виявив критичну помилку виконання. Припинення. • 5058: Операція з файлом ключа. • 5059: Операція міграції ключа. Рекомендований стан для цього параметра: успіх і невдача.

Запис цих подій аудиту може бути корисним для визначення того, коли працює брандмауер Windows не працює, як очікувалося. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.9.3 Переконайтеся, що параметр «Зміна стану безпеки аудиту» включає «Успіх» (Автоматизовано)

Ця підкатегорія повідомляє про зміни в стані безпеки системи, наприклад, коли підсистема безпеки запускається і зупиняється. Події цієї підкатегорії включають: • 4608: Windows запускається. • 4609: Windows завершує роботу. • 4616: системний час змінено. • 4621: адміністратор відновив систему після CrashOnAuditFail. Користувачі, які не є тепер адміністраторам буде дозволено ввійти. Деякі дії, які підлягають перевірці, можуть не виконуватись були записані. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.9.4 Переконайтеся, що «Аудит розширення системи безпеки» налаштовано на «Успіх» (Автоматизовано)

Ця підкатегорія повідомляє про завантаження коду розширення, наприклад автентифікації пакетів підсистемою безпеки. Події цієї підкатегорії включають: • 4610: пакет автентифікації завантажено локальною безпекою Авторитет. • 4611: довірений процес входу зареєстровано в локальній безпеці Авторитет. • 4614: Менеджер облікових записів безпеки завантажив пакет сповіщень. • 4622: Місцевий орган безпеки завантажив пакет безпеки. • 4697: у системі встановлено службу. Рекомендований стан для цього параметра: Успіх.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.

17.9.5 Переконайтеся, що для параметра «Аудит цілісності системи» встановлено значення «Успіх і невдача» (Автоматизовано)

Ця підкатегорія повідомляє про порушення цілісності підсистеми безпеки. Події для ця підкатегорія включає: • 4612: внутрішні ресурси, виділені для постановки в чергу повідомлень аудиту, були використані вичерпані, що призвело до втрати деяких аудитів. • 4615: неправильне використання порту LPC. • 4618: виник шаблон події безпеки. • 4816: RPC виявив порушення цілісності під час дешифрування вхідного повідомлення. • 5038: цілісність коду визначила, що хеш зображення файлу недійсний. Файл може бути пошкоджено через неавторизовану модифікацію або недійсний хеш вказують на потенційну помилку дискового пристрою. • 5056: виконано криптографічне самотестування. • 5057: помилка криптографічної примітивної операції. • 5060: Помилка операції перевірки. • 5061: Криптографічна операція. • 5062: було виконано криптографічне самотестування в режимі ядра. Рекомендований стан для цього параметра: успіх і невдача.

Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.

Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.