17. Розширена конфігурація політики аудиту
Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Розширена конфігурація політики аудиту».
Рекомендацій: 27
Windows 11 Stand-alone v5.0.0
17.1.1 Переконайтеся, що для параметра «Перевірка облікових даних аудиту» встановлено значення «Успіх і невдача» (Автоматизовано)
Ця підкатегорія повідомляє про результати перевірки облікових даних, поданих для a запит на вхід до облікового запису користувача. Ці події відбуваються на комп’ютері, який є авторитетним для облікові дані. Для облікових записів домену контролер домену є авторитетним, тоді як для локальних облікових записів авторитетним є локальний комп’ютер. У доменних середовищах більшість події входу в обліковий запис відбуваються в журналі безпеки контролерів домену, які є авторитетний для облікових записів домену. Однак ці події можуть відбуватися і на інших комп’ютери в організації, коли для входу використовуються локальні облікові записи. Події для цього підкатегорія включає: • 4774: обліковий запис зіставлено для входу. • 4775: Не вдалося зіставити обліковий запис для входу. • 4776: контролер домену спробував перевірити облікові дані для рахунок. • 4777: контролеру домену не вдалося перевірити облікові дані для облікового запису. Рекомендований стан для цього параметра: успіх і невдача.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте такі дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce923f-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача на успіх і помилку: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Account Logon\Audit Credential Validation
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-credential-validation
- GRID: MS-00000196
IG 1, 2
IG 1, 2
17.2 Account Management This section contains recommendations for configuring the Account Management audit policy.
17.2.1 Переконайтеся, що для параметра «Керування групою програм аудиту» встановлено значення «Успіх і невдача» (Автоматизовано)
Цей параметр політики дозволяє перевіряти події, створені змінами програми такі групи, як: • Група додатків створюється, змінюється або видаляється. • Учасник додається або видаляється з групи програми. Групи програм використовуються диспетчером авторизації Windows, який є гнучким фреймворк, створений Microsoft для інтеграції керування доступом на основі ролей (RBAC). програми. Більше інформації про диспетчер авторизації Windows доступно на MSDN – Менеджер авторизації Windows. Рекомендований стан для цього параметра: успіх і невдача. Примітка. Незважаючи на те, що Microsoft «застаріла» Windows Authorization Manager (AzMan) у Windows Server 2012 і 2012 R2 ця функція все ще існує в ОС (не покращена) і тому слід ще перевірити.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9239-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача до успіху та помилки: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Account Management\Audit Application Group Management
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-application-group-management
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/advanced-security-audit-policy-settings
- GRID: MS-00000199
IG 1, 2
IG 1, 2
17.2.2 Переконайтеся, що «Аудит керування групою безпеки» налаштовано на «Успіх» (Автоматизовано)
Ця підкатегорія повідомляє про кожну подію керування групою безпеки, наприклад, коли a групу безпеки створюється, змінюється або видаляється, або коли учасник додається до або видалено з групи безпеки. Якщо ви ввімкнете цей параметр політики аудиту, адміністратори може відстежувати події для виявлення зловмисного, випадкового та авторизованого створення безпеки групові облікові записи. Події цієї підкатегорії включають: • 4727: створено глобальну групу з підтримкою безпеки. • 4728: учасника додано до глобальної групи з підтримкою безпеки. • 4729: члена було видалено з глобальної групи з увімкненою системою безпеки. • 4730: Глобальну групу з підтримкою безпеки видалено. • 4731: створено локальну групу з підтримкою безпеки. • 4732: учасника додано до локальної групи з увімкненою системою безпеки. • 4733: члена було видалено з локальної групи з увімкненою системою безпеки. • 4734: локальну групу з увімкненим захистом було видалено. • 4735: локальну групу з увімкненим захистом було змінено. • 4737: глобальну групу з підтримкою безпеки було змінено. • 4754: створено універсальну групу з підтримкою безпеки. • 4755: змінено універсальну групу з підтримкою безпеки. • 4756: учасника додано до універсальної групи з підтримкою безпеки. • 4757: учасника було видалено з універсальної групи з підтримкою безпеки. • 4758: видалено універсальну групу з підтримкою безпеки. • 4764: тип групи було змінено. Рекомендований стан для цього параметра: Успіх.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9237-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити успіх: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Account Management\Audit Security Group Management
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-security-group-management
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/advanced-security-audit-policy-settings
- GRID: MS-00000203
IG 1, 2
IG 1, 2
IG 1, 2
17.2.3 Переконайтеся, що для параметра «Аудит керування обліковими записами користувачів» встановлено значення «Успіх і невдача» (Автоматизовано)
Ця підкатегорія повідомляє про кожну подію керування обліковим записом користувача, наприклад, коли a обліковий запис користувача створюється, змінюється або видаляється; обліковий запис користувача перейменовано, вимкнено або включений; або встановлено або змінено пароль. Якщо ви ввімкнете це налаштування політики аудиту, адміністратори можуть відстежувати події, щоб виявити зловмисне, випадкове та авторизоване створення облікових записів користувачів. Події цієї підкатегорії включають: • 4720: створено обліковий запис користувача. • 4722: обліковий запис користувача було ввімкнено. • 4723: була зроблена спроба змінити пароль облікового запису. • 4724: була зроблена спроба скинути пароль облікового запису. • 4725: обліковий запис користувача вимкнено. • 4726: обліковий запис користувача видалено. • 4738: обліковий запис користувача змінено. • 4740: обліковий запис користувача заблоковано. • 4765: до облікового запису додано історію SID. • 4766: не вдалося додати історію SID до облікового запису. • 4767: обліковий запис користувача розблоковано. • 4780: ACL встановлено для облікових записів, які є членами адміністраторів групи. • 4781: змінено назву облікового запису: • 4794: була зроблена спроба встановити режим відновлення служб каталогів. • 5376: було створено резервну копію облікових даних Credential Manager. • 5377: облікові дані диспетчера облікових даних відновлено з резервної копії. Рекомендований стан для цього параметра: успіх і невдача.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9235-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача на успіх і помилку: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Account Management\Audit User Account Management
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-user-account-management
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/advanced-security-audit-policy-settings
- GRID: MS-00000204
IG 1, 2
IG 1, 2
17.3 Detailed Tracking This section contains recommendations for configuring the Detailed Tracking audit policy.
17.3.1 Переконайтеся, що «Аудит PNP активності» налаштовано на «Успіх» (Автоматизовано)
Цей параметр політики дозволяє перевіряти, коли plug and play виявляє зовнішній пристрій. Рекомендований стан для цього параметра: Успіх. Примітка: для доступу та налаштування цього значення потрібна ОС Windows 10, Server 2016 або новіша у груповій політиці.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Увімкнення цього параметра дозволить користувачеві перевіряти події, коли пристрій підключено до система. Це може допомогти попередити ІТ-спеціаліст, якщо підключено несхвалені пристрої. Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9248-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити успіх: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Detailed Tracking\Audit PNP Activity
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-pnp-activity
- GRID: MS-00000205
IG 1, 2
IG 1, 2
17.3.2 Переконайтеся, що «Створення процесу аудиту» налаштовано на «Успіх» (Автоматизовано)
Ця підкатегорія повідомляє про створення процесу та назву програми або користувача що створив його. Події цієї підкатегорії включають: • 4688: створено новий процес. • 4696: для процесу призначено основний маркер. Зверніться до статті бази знань Microsoft Knowledge Base 947226: Опис подій безпеки в Windows Vista та Windows Server 2008, щоб отримати найновішу інформацію про це налаштування. Рекомендований стан для цього параметра: Успіх.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce922b-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити успіх: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Detailed Tracking\Audit Process Creation
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-process-creation
- GRID: MS-00000206
IG 1, 2
IG 1, 2
17.4 DS Access This section is intentionally blank and exists to ensure the structure of Windows benchmarks is consistent.
17.5 Logon/Logoff This section contains recommendations for configuring the Logon/Logoff audit policy.
17.5.1 Переконайтеся, що параметр «Аудит блокування облікового запису» включає «Помилка» (Автоматизовано)
Ця підкатегорія повідомляє, коли обліковий запис користувача заблоковано через занадто багато невдалі спроби входу. Події цієї підкатегорії включають: • 4625: не вдалося ввійти в обліковий запис. Рекомендований стан для цього параметра включати: Помилка.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наступне та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9217-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити помилку: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Logon/Logoff\Audit Account Lockout
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-account-lockout
- GRID: MS-00000209
IG 1, 2
IG 1, 2
IG 1, 2
17.5.2 Переконайтеся, що «Членство в групі аудиту» включає «Успіх» (Автоматизовано)
Ця політика дозволяє перевіряти інформацію про членство в групі під час входу користувача жетон. Події цієї підкатегорії генеруються на комп’ютері, на якому виконується вхід створено сеанс. Для інтерактивного входу подія перевірки безпеки генерується на комп’ютер, на якому користувач увійшов. Для входу в мережу, наприклад доступу до спільного папку в мережі, подія аудиту безпеки генерується на комп’ютері, на якому розміщено ресурс. Рекомендований стан для цього параметра: Успіх. Примітка: для доступу та налаштування цього значення потрібна ОС Windows 10, Server 2016 або новіша у груповій політиці.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наступне та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9249-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити Success: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Logon/Logoff\Audit Group Membership
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-group-membership
- GRID: MS-00000210
IG 1, 2
IG 1, 2
IG 1, 2
IG 1, 2
17.5.3 Переконайтеся, що для «Аудиторського виходу» встановлено значення «Успіх» (Автоматизовано)
Ця підкатегорія повідомляє, коли користувач виходить із системи. Ці події відбуваються на комп’ютер, до якого здійснюється доступ. Для інтерактивних входів відбувається генерація цих подій на комп’ютері, на якому виконано вхід. Якщо вхід у мережу відбувається для доступу до спільного ресурсу, ці події генеруються на комп’ютері, на якому розміщено доступний ресурс. Якщо ви налаштуйте цей параметр на Без аудиту, важко або неможливо визначити, який користувач отримував доступ або намагався отримати доступ до комп’ютерів організації. Події для цього підкатегорія включає: • 4634: вийшов з облікового запису. • 4647: вихід із системи за ініціативою користувача. Рекомендований стан для цього параметра: Успіх.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наступні дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9216-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити Success: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Logon/Logoff\Audit Logoff
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-logoff
- GRID: MS-00000211
IG 1, 2
IG 1, 2
IG 1
17.5.4 Переконайтеся, що для «Аудиторського входу» встановлено значення «Успіх і невдача» (Автоматизовано)
Ця підкатегорія повідомляє, коли користувач намагається увійти в систему. Ці події відбуваються на комп’ютері, до якого здійснюється доступ. Для інтерактивних входів, генерація цих подій відбувається на комп’ютері, на якому виконано вхід. Якщо для доступу до a спільний доступ, ці події генеруються на комп’ютері, на якому розміщено доступний ресурс. Якщо ви налаштуйте цей параметр на Без аудиту, важко або неможливо визначити, який користувач отримував доступ або намагався отримати доступ до комп’ютерів організації. Події для цього підкатегорія включає: • 4624: успішно ввійшли в обліковий запис. • 4625: не вдалося ввійти в обліковий запис. • 4648: була спроба входу з використанням явних облікових даних. • 4675: SID відфільтровано. Рекомендований стан для цього параметра: успіх і невдача.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9215-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача до успіху та помилки: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Logon/Logoff\Audit Logon
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-logon
- GRID: MS-00000212
IG 1, 2
IG 1, 2
IG 1
17.5.5 Переконайтеся, що для параметра «Аудит інших подій входу/виходу» встановлено значення «Успіх і невдача» (Автоматизовано)
Ця підкатегорія повідомляє про інші події, пов’язані з входом/виходом із системи, наприклад віддалений робочий стіл Сеанс служб відключається та повторно підключається, використовуючи RunAs для запуску процесів під a інший обліковий запис, а також блокування та розблокування робочої станції. Події для цієї підкатегорії включають: • 4649: виявлено повторну атаку. • 4778: Сеанс було повторно підключено до Window Station. • 4779: Сеанс було відключено від Window Station. • 4800: робочу станцію було заблоковано. • 4801: робочу станцію було розблоковано. • 4802: Викликана заставка. • 4803: екранну заставку було закрито. • 5378: запитане делегування повноважень було заборонено політикою. • 5632: зроблено запит на автентифікацію в бездротовій мережі. • 5633: зроблено запит на автентифікацію в дротовій мережі. Рекомендований стан для цього параметра: успіх і невдача.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наступні дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce921c-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача на Success або Failure: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Logon/Logoff\Audit Other Logon/Logoff Events
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-other-logonlogoff-events
- GRID: MS-00000213
IG 1, 2
IG 1, 2
IG 1
17.5.6 Переконайтеся, що параметр «Аудит спеціального входу» включає «Успіх» (Автоматизовано)
Ця підкатегорія повідомляє, коли використовується спеціальний вхід. Спеціальний вхід — це вхід, який має еквівалентні права адміністратора і може бути використаний для підвищення рівня процесу рівень. Події цієї підкатегорії включають: • 4964: для нового входу призначено спеціальні групи. Рекомендований стан для цього параметра: Успіх.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce921b-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити Success: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Logon/Logoff\Audit Special Logon
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-special-logon
- GRID: MS-00000214
IG 1, 2
IG 1, 2
IG 1
17.6 Object Access This section contains recommendations for configuring the Object Access audit policy.
17.6.1 Переконайтеся, що параметр «Аудит детального спільного використання файлів» включає «Помилка» (Автоматизовано)
Ця підкатегорія дозволяє перевіряти спроби доступу до файлів і папок на спільному ресурсі папку. Події цієї підкатегорії включають: • 5145: перевірено мережевий спільний об’єкт, щоб побачити, чи можна надати клієнту бажаний доступ. Рекомендований стан для цього параметра включати: Помилка
Аудит помилок реєструватиме, які неавторизовані користувачі намагалися (і не змогли) отримати доступ до файлу чи папки на спільному мережевому ресурсі на цьому комп’ютері, що може бути ознака зловмисного наміру. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9244-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити помилку: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Object Access\Audit Detailed File Share
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-detailed-file-share
- GRID: MS-00000215
IG 1, 2
IG 1, 2
IG 1, 2, 3
17.6.2 Переконайтеся, що для параметра «Аудит спільного використання файлів» встановлено значення «Успіх і невдача» (Автоматизовано)
Цей параметр політики дозволяє перевіряти спроби доступу до спільної папки. Рекомендований стан для цього параметра: успіх і невдача. Примітка. Для спільних папок немає системних списків керування доступом (SACL). Якщо ця політика параметр увімкнено, доступ до всіх спільних папок у системі перевіряється.
У корпоративному керованому середовищі робочі станції повинні мати обмежений спільний доступ до файлів діяльності, оскільки файлові сервери зазвичай обробляють загальний тягар діяльності спільного використання файлів. Тому будь-яка незвичайна діяльність із обміну файлами на робочих станціях може бути корисною в розслідування потенційно зловмисної діяльності. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наступне та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9224-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача до успіху та помилки: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Object Access\Audit File Share
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-file-share
- GRID: MS-00000216
IG 1, 2
IG 1, 2
IG 1, 2, 3
17.6.3 Переконайтеся, що для параметра «Аудит інших подій доступу до об’єктів» встановлено значення «Успіх і невдача» (Автоматизовано)
Цей параметр політики дозволяє перевіряти події, створені керуванням завданням завдання планувальника або об’єкти COM+. Для завдань планувальника перевіряються: • Робота створена. • Роботу видалено. • Робота включена. • Робота вимкнена. • Вакансія оновлена. Для об’єктів COM+ перевіряються: • Об’єкт каталогу додано. • Об’єкт каталогу оновлено. • Об’єкт каталогу видалено. Рекомендований стан для цього параметра: успіх і невдача.
Несподіване створення запланованих завдань і об’єктів COM+ потенційно може бути причиною ознака шкідливої діяльності. Оскільки ці типи дій зазвичай невеликі, це може бути корисним для запису їх у журнали аудиту для використання під час розслідування. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9227-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію за допомогою GP, установіть наступний шлях інтерфейсу користувача на Success і Failure: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Object Access\Audit Other Object Access Events
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-other-object-access-events
- GRID: MS-00000217
IG 1, 2
IG 1, 2
17.6.4 Переконайтеся, що для параметра «Аудит знімного сховища» встановлено значення «Успіх і невдача» (Автоматизовано)
Цей параметр політики дозволяє перевіряти спроби користувачів отримати доступ до об’єктів файлової системи на a знімний накопичувач. Подія аудиту безпеки генерується лише для всіх об’єктів для всіх запитуваних типів доступу. Якщо налаштувати цей параметр політики, подія аудиту є генерується кожного разу, коли обліковий запис отримує доступ до об’єкта файлової системи на знімному носії. Аудити успіху фіксують успішні спроби, а аудити невдач — невдалі спроби. Якщо ви не налаштуєте цей параметр політики, подія аудиту не генеруватиметься під час обліковий запис отримує доступ до об’єкта файлової системи на знімному носії. Рекомендований стан для цього параметра: успіх і невдача. Примітка. Для доступу та налаштування потрібна ОС Windows 8.0, Server 2012 (не R2) або новіша. це значення в груповій політиці.
Аудит знімного сховища може бути корисним під час розслідування інциденту. Наприклад, якщо особу підозрюють у копіюванні конфіденційної інформації на USB-накопичувач. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9245-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача до успіху та помилки: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Object Access\Audit Removable Storage
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-removable-storage
- GRID: MS-00000218
IG 1, 2
IG 1, 2
17.7 Policy Change This section contains recommendations for configuring the Policy Change audit policy.
17.7.1 Переконайтеся, що параметр «Зміна політики аудиту аудиту» включає «Успіх» (Автоматизовано)
Ця підкатегорія повідомляє про зміни в політиці аудиту, включаючи зміни SACL. Події для ця підкатегорія включає: • 4715: змінено політику аудиту (SACL) для об’єкта. • 4719: політику системного аудиту змінено. • 4902: створено таблицю політики аудиту для кожного користувача. • 4904: була зроблена спроба зареєструвати джерело події безпеки. • 4905: була зроблена спроба скасувати реєстрацію джерела подій безпеки. • 4906: змінено значення CrashOnAuditFail. • 4907: параметри аудиту об’єкта змінено. • 4908: змінено таблицю входу в систему спеціальних груп. • 4912: політику аудиту кожного користувача змінено. Рекомендований стан для цього параметра: Успіх.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce922f-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити успіх: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Policy Change\Audit Audit Policy Change
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-audit-policy-change
- GRID: MS-00000219
IG 1, 2
IG 1, 2
IG 1, 2
17.7.2 Переконайтеся, що параметр «Зміна політики перевірки автентифікації» включає «Успіх» (Автоматизовано)
Ця підкатегорія повідомляє про зміни в політиці автентифікації. Події для цієї підкатегорії включають: • 4706: для домену створено нову довіру. • 4707: довіру до домену видалено. • 4713: політику Kerberos змінено. • 4716: інформацію про довірений домен було змінено. • 4717: обліковому запису надано доступ до системи безпеки. • 4718: для облікового запису видалено доступ до системи безпеки. • 4739: політику домену змінено. • 4864: виявлено конфлікт простору імен. • 4865: додано надійний запис інформації про ліс. • 4866: видалено запис інформації про надійний ліс. • 4867: інформаційний запис надійного лісу було змінено. Рекомендований стан для цього параметра: Успіх.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9230-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити успіх: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Policy Change\Audit Authentication Policy Change
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-authentication-policy-change
- GRID: MS-00000220
IG 1, 2
IG 1, 2
IG 1, 2
17.7.3 Переконайтеся, що параметр «Зміна політики авторизації аудиту» включає «Успіх» (Автоматизовано)
Ця підкатегорія повідомляє про зміни в політиці авторизації. Події для цієї підкатегорії включають: • 4703: було скориговано право користувача. • 4704: було призначено право користувача. • 4705: Права користувача видалено. • 4670: дозволи на об’єкт змінено. • 4911: атрибути ресурсів об’єкта змінено. • 4913: центральну політику доступу до об’єкта було змінено. Рекомендований стан для цього параметра: Успіх.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9231-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити успіх: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Policy Change\Audit Authorization Policy Change
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-authorization-policy-change
- GRID: MS-00000221
IG 1, 2
IG 1, 2
IG 1, 2
17.7.4 Переконайтеся, що для параметра «Зміна політики на рівні правил аудиту MPSSVC» встановлено значення «Успіх і невдача» (Автоматизовано)
Ця підкатегорія визначає, чи генерує операційна система події аудиту коли вносяться зміни до правил політики для Microsoft Protection Service (MPSSVC.exe). Події цієї підкатегорії включають: • 4944: наступна політика була активна під час запуску брандмауера Windows. • 4945: під час запуску брандмауера Windows було зазначено правило. • 4946: внесено зміни до списку винятків брандмауера Windows. Правило було додано. • 4947: внесено зміни до списку винятків брандмауера Windows. Правило було змінений. • 4948: внесено зміни до списку винятків брандмауера Windows. Правило було видалено. • 4949: параметри брандмауера Windows відновлено до значень за замовчуванням. • 4950: змінено налаштування брандмауера Windows. • 4951: Правило було проігноровано, оскільки його номер основної версії не вказано розпізнається брандмауером Windows. • 4952: Частини правила було проігноровано, оскільки номер його другорядної версії був не розпізнається брандмауером Windows. Інші частини правила будуть виконуватися. • 4953: брандмауер Windows проігнорував правило, оскільки його не вдалося проаналізувати правило. • 4954: параметри групової політики брандмауера Windows змінено. Нові налаштування були застосовані. • 4956: брандмауер Windows змінив активний профіль. • 4957: брандмауер Windows не застосував таке правило. • 4958: брандмауер Windows не застосував це правило, оскільки правило посилалося до елементів, не налаштованих на цьому комп’ютері. Рекомендований стан для цього параметра: успіх і невдача
Зміни в правилах брандмауера важливі для розуміння стану безпеки комп’ютер і наскільки добре він захищений від мережевих атак. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9232-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача на успіх і помилку: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Policy Change\Audit MPSSVC Rule- Level Policy Change
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-mpssvc-rule-level-policy-change
- GRID: MS-00000222
IG 1, 2
IG 1, 2
IG 1, 2
17.7.5 Переконайтеся, що параметр «Аудит інших подій зміни політики» включає «Помилка» (Автоматизовано)
Ця підкатегорія містить події про зміни в політиці EFS Data Recovery Agent, зміни у фільтрі платформи фільтрації Windows, стан оновлень параметрів політики безпеки для налаштувань локальної групової політики, змін центральної політики доступу та детально події усунення несправностей для операцій Cryptographic Next Generation (CNG). • 5063: була спроба виконати операцію криптографічного постачальника. • 5064: була спроба виконати криптографічний контекст. • 5065: була зроблена спроба модифікації криптографічного контексту. • 5066: була спроба виконати операцію криптографічної функції. • 5067: була зроблена спроба модифікації криптографічної функції. • 5068: була спроба виконати операцію постачальника криптографічної функції. • 5069: була спроба виконати операцію властивості криптографічної функції. • 5070: була зроблена спроба змінити властивість криптографічної функції. • 6145: під час обробки політики безпеки в групі сталася одна або кілька помилок об’єкти політики. Рекомендований стан для цього параметра включати: Помилка.
Цей параметр може допомогти виявити помилки в застосованих параметрах безпеки, які надійшли від групи Політика та події збою, пов’язані з функціями Cryptographic Next Generation (CNG). Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9234-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити Failure: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Policy Change\Audit Other Policy Change Events
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-other-policy-change-events
- GRID: MS-00000223
IG 1, 2
IG 1, 2
IG 1, 2
17.8 Privilege Use This section contains recommendations for configuring the Privilege Use audit policy.
17.8.1 Переконайтеся, що для параметра «Використання чутливих привілеїв аудиту» встановлено значення «Успіх» (Автоматизовано)
Ця підкатегорія повідомляє, коли обліковий запис користувача або служба використовує конфіденційні привілеї. А конфіденційні права включають такі права користувача: • Діяти як частина операційної системи • Резервне копіювання файлів і каталогів • Створіть об’єкт маркера • Налагодження програм • Увімкніть облікові записи комп’ютерів і користувачів як довірені для делегування • Створення аудитів безпеки • Видавати себе за клієнта після автентифікації • Завантаження та вивантаження драйверів пристроїв • Керуйте журналом аудиту та безпеки • Змініть значення середовища мікропрограми • Замініть маркер рівня процесу • Відновлення файлів і каталогів • Взяти право власності на файли чи інші об’єкти Аудит цієї підкатегорії створить великий обсяг подій. Події для цього підкатегорія включає: • 4672: Спеціальні привілеї, призначені новому входу. • 4673: була викликана пільгова служба. • 4674: була спроба виконати операцію з привілейованим об’єктом. Рекомендований стан для цього параметра: успіх.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9228-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача на Success: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\Privilege Use\Audit Sensitive Privilege Use
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-sensitive-privilege-use
- GRID: MS-00000224
IG 1, 2
IG 1, 2
17.9 System This section contains recommendations for configuring the System audit policy.
17.9.1 Переконайтеся, що для параметра «Аудит драйвера IPsec» встановлено значення «Успіх і невдача» (Автоматизовано)
Ця підкатегорія повідомляє про діяльність драйвера безпеки протоколу Інтернету (IPsec). Події цієї підкатегорії включають: • 4960: IPsec скинув вхідний пакет, який не пройшов перевірку цілісності. Якщо це проблема не зникає, це може свідчити про проблему з мережею або про те, що надходять пакети змінено під час передачі на цей комп’ютер. Переконайтеся, що пакети надіслано з дистанційного керування комп’ютера такі самі, як отримані цим комп’ютером. Ця помилка також може вказують на проблеми взаємодії з іншими реалізаціями IPsec. • 4961: IPsec скинув вхідний пакет, який не пройшов перевірку повтору. Якщо ця проблема зберігається, це може свідчити про повторну атаку на цей комп’ютер. • 4962: IPsec скинув вхідний пакет, який не пройшов перевірку повтору. Вхідний пакет мав занадто низький порядковий номер, щоб переконатися, що це не повторне відтворення. • 4963: IPsec скинув вхідний пакет відкритого тексту, який мав бути забезпечені. Зазвичай це відбувається через те, що віддалений комп’ютер змінює свою політику IPsec без інформування цього комп’ютера. Це також може бути спроба спуфінгу. • 4965: IPsec отримав пакет від віддаленого комп’ютера з неправильною безпекою Індекс параметрів (SPI). Зазвичай це спричинено несправністю апаратного забезпечення пошкодження пакетів. Якщо ці помилки не зникають, переконайтеся, що пакети, надіслані з на віддаленому комп’ютері такі самі, як отримані цим комп’ютером. Ця помилка також може вказувати на проблеми взаємодії з іншими реалізаціями IPsec. в У цьому випадку, якщо підключення не перешкоджає, ці події можна ігнорувати. • 5478: служби IPsec успішно запущено. • 5479: служби IPsec успішно завершено. Вимкнення IPsec Служби можуть наражати комп’ютер на більший ризик мережевої атаки або викрити комп’ютер до потенційних ризиків безпеці. • 5480: службам IPsec не вдалося отримати повний список мережевих інтерфейсів на комп’ютер. Це створює потенційну загрозу безпеці, оскільки деякі з мережі інтерфейси можуть не отримати захисту, який забезпечують застосовані фільтри IPsec. використання оснащення IP Security Monitor, щоб діагностувати проблему. • 5483: службам IPsec не вдалося ініціалізувати сервер RPC. Служби IPsec не могли бути почався. • 5484: у службах IPsec сталася критична помилка, і їх було закрито. Вимкнення служб IPsec може піддати комп’ютер більшому ризику для мережі атакувати або піддавати комп’ютер потенційним ризикам безпеці.
• 5485: службам IPsec не вдалося обробити деякі фільтри IPsec у режимі plug-and-play подія для мережевих інтерфейсів. Це створює потенційний ризик для безпеки, оскільки деякі мережевих інтерфейсів може не отримати захист, який забезпечує застосована Фільтри IPsec. Використовуйте оснастку IP Security Monitor, щоб діагностувати проблему. Рекомендований стан для цього параметра: успіх і невдача.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9213-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача до успіху та помилки: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\System\Audit IPsec Driver
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-ipsec-driver
- GRID: MS-00000225
IG 1, 2
IG 1, 2
17.9.2 Переконайтеся, що для параметра «Аудит інших системних подій» встановлено значення «Успіх і невдача» (Автоматизовано)
Ця підкатегорія повідомляє про інші системні події. Події цієї підкатегорії включають: • 5024: Служба брандмауера Windows успішно запущена. • 5025: Службу брандмауера Windows зупинено. • 5027: Службі брандмауера Windows не вдалося отримати політику безпеки з локального сховища. Сервіс продовжуватиме дотримуватись поточної політики. • 5028: Служба брандмауера Windows не змогла проаналізувати новий захист політики. Служба продовжуватиме діяти відповідно до поточної політики. • 5029: Службі брандмауера Windows не вдалося ініціалізувати драйвер. Служба буде продовжувати дотримуватись поточної політики. • 5030: не вдалося запустити службу брандмауера Windows. • 5032: брандмауер Windows не зміг повідомити користувача про блокування програма не приймає вхідні підключення до мережі. • 5033: Драйвер брандмауера Windows успішно запущено. • 5034: драйвер брандмауера Windows зупинено. • 5035: Не вдалося запустити драйвер брандмауера Windows. • 5037: драйвер брандмауера Windows виявив критичну помилку виконання. Припинення. • 5058: Операція з файлом ключа. • 5059: Операція міграції ключа. Рекомендований стан для цього параметра: успіх і невдача.
Запис цих подій аудиту може бути корисним для визначення того, коли працює брандмауер Windows не працює, як очікувалося. Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9214-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача на Success і Failure: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\System\Audit Other System Events
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-other-system-events
- GRID: MS-00000226
IG 1, 2
IG 1, 2
17.9.3 Переконайтеся, що параметр «Зміна стану безпеки аудиту» включає «Успіх» (Автоматизовано)
Ця підкатегорія повідомляє про зміни в стані безпеки системи, наприклад, коли підсистема безпеки запускається і зупиняється. Події цієї підкатегорії включають: • 4608: Windows запускається. • 4609: Windows завершує роботу. • 4616: системний час змінено. • 4621: адміністратор відновив систему після CrashOnAuditFail. Користувачі, які не є тепер адміністраторам буде дозволено ввійти. Деякі дії, які підлягають аудиту, можуть не виконуватись були записані. Рекомендований стан для цього параметра: Успіх.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9210-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити успіх: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\System\Audit Security State Change
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-security-state-change
- GRID: MS-00000227
IG 1, 2
IG 1, 2
17.9.4 Переконайтеся, що «Аудит розширення системи безпеки» налаштовано на «Успіх» (Автоматизовано)
Ця підкатегорія повідомляє про завантаження коду розширення, наприклад автентифікації пакетів підсистемою безпеки. Події цієї підкатегорії включають: • 4610: пакет автентифікації завантажено локальною безпекою Авторитет. • 4611: довірений процес входу зареєстровано в локальній безпеці Авторитет. • 4614: Менеджер облікових записів безпеки завантажив пакет сповіщень. • 4622: Місцевий орган безпеки завантажив пакет безпеки. • 4697: у системі встановлено службу. Рекомендований стан для цього параметра: Успіх.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9211-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть такий шлях інтерфейсу користувача, щоб включити успіх: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\System\Audit Security System Extension
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-security-system-extension
- GRID: MS-00000228
IG 1, 2
IG 1, 2
17.9.5 Переконайтеся, що для параметра «Аудит цілісності системи» встановлено значення «Успіх і невдача» (Автоматизовано)
Ця підкатегорія повідомляє про порушення цілісності підсистеми безпеки. Події для ця підкатегорія включає: • 4612: внутрішні ресурси, виділені для постановки в чергу повідомлень аудиту, були використані вичерпані, що призвело до втрати деяких аудитів. • 4615: неправильне використання порту LPC. • 4618: виник шаблон події безпеки. • 4816: RPC виявив порушення цілісності під час дешифрування вхідного повідомлення. • 5038: цілісність коду визначила, що хеш зображення файлу недійсний. Файл може бути пошкоджено через неавторизовану модифікацію або недійсний хеш вказують на потенційну помилку дискового пристрою. • 5056: виконано криптографічне самотестування. • 5057: помилка криптографічної примітивної операції. • 5060: Помилка операції перевірки. • 5061: Криптографічна операція. • 5062: було виконано криптографічне самотестування в режимі ядра. Рекомендований стан для цього параметра: успіх і невдача.
Якщо параметри аудиту не налаштовано або параметри аудиту надто слабкі на комп’ютерах у вашої організації, інциденти безпеки можуть не бути виявлені або недостатньо доказів бути доступним для судового аналізу мережі після виникнення інцидентів безпеки. Проте, якщо параметри аудиту занадто суворі, можуть бути критично важливі записи в журналі безпеки захищені всіма безглуздими записами та продуктивністю комп’ютера та наявними обсяг зберігання даних може серйозно вплинути. Компанії, які працюють у певних регульовані галузі можуть мати юридичні зобов’язання реєструвати певні події чи дії.
Розширене журналювання аудиту генеруватиме додаткові події, коли цю функцію ввімкнено.
Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено.
- — АБО — Щоб перевірити систему за допомогою auditpol.exe, виконайте наведені нижче дії та переконайтеся, що встановлено, як зазначено: auditpol /get /subcategory:”{0cce9212-69ae-11d9-bed3-505054503030}”
Щоб установити рекомендовану конфігурацію через GP, установіть наступний шлях інтерфейсу користувача до успіху та помилки: Computer Configuration\Policies\Windows Settings\Security Settings\Advanced Audit Policy Configuration\Audit Policies\System\Audit System Integrity
📋 CIS Controls & Нормативні посилання
- https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-system-integrity
- GRID: MS-00000229
IG 1, 2
IG 1, 2
18 Administrative Templates (Computer) This section contains computer-based recommendations from Group Policy Administrative Templates (ADMX). 18.1 Control Panel This section contains recommendations for Control Panel settings. This Group Policy section is provided by the Group Policy template Windows.admx/adml that is included with all versions of the Microsoft Windows Administrative Templates.
18.1.1 Personalization This section contains recommendations for Control Panel personalization settings. This Group Policy section is provided by the Group Policy template ControlPanelDisplay.admx/adml that is included with the Microsoft Windows 8.0 & Server 2012 (non-R2) Administrative Templates (or newer).
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
До повного змісту CIS Microsoft Windows 11 Stand-alone Benchmark →