Аудит событий безопасности в Windows 10

Локальная политика безопасности Windows 10

Заметка о том, как провести аудит событий безопасности в операционной системе. Изучив эту заметку, вы ознакомитесь с подсистемой безопасности на примере Windows 10. После чего вы сможете самостоятельно проводить аудит событий безопасности операционных систем Windows.

Политика аудита

Политика аудита безопасности операционной системы предназначена для определения категорий сообщений о событиях безопасности. Выбранные категории сохраняются в соответствующих журналах безопасности. Для настройки политики используется приложение локальная политика безопасности.

Для запуска введите его название в строке поиска.

Как открыть локальную политику безопасности

В политике аудита находится набор параметров безопасности по категориям. В свойствах выбранной категории можно влачить фиксацию в журнале определенного события.

События входа и выхода

Например, в категории «аудит входа в систему» можно включить фиксацию успешных или неудачных попыток входа в систему.

При анализе журнала вы сможете посмотреть пытались ли злоумышленники зайти в операционную систему. Если да, тогда, сколько было попыток и были ли успешные попытки.

Аудит входа в систему

Проверим, как это работает.  Я включу оба типа событий.

Учет ведется для каждой учетной записи, в том числе при попытке войти на рабочую станцию, которая находится в контроллере домена.

Теперь я попробую ввести неверный пароль, пытаясь зайти под одним пользователем. А затем совершить удачную попытку входа под другим пользователем.

Я ввел несколько раз неправильный пароль, пытаясь зайти под одной учетной записью, а затем зашел под своей учетной записью.

Для просмотра событий нужно открыть приложение просмотр событий.

Затем выбрать пункт меню журналы Windows –> Безопасность. В журнале будут отображены неудачные и удачные попытки входа в систему.

Приложение просмотр событий в Windows

Кликнув на событие, вы можете просмотреть его свойства и подробности.

Неудачные попытки входа в систему

Существуют следующие типы входов операционную систему Windows.

Тип Название Описание
0 Системный (System) Используется только учетной записью System, например при запуске системы.
2 Интерактивный (Interactive) Локальный вход пользователя на компьютер.
3 Сетевой (Network) Пользователь вошёл на данный компьютер через сеть.
4 Пакетный (Batch) Пакетный тип входа используется пакетными серверами
5 Служба (Service) Служба запущена Service Control Manager.
7 Разблокирование (Unlock) Эта рабочая станция разблокирована
8 Сетевой ввод пароля (NetworkCleartext) Пользователь вошёл на данный компьютер через сеть. Пароль пользователя передан в нехэшированной форме.
9 Новые полномочия (NewCredentials) Посетитель клонировал свой

текущий маркер и указал новые учётные записи для исходящих соединений

10 Удаленный интерактив (RemoteInteractive) Пользователь выполнил удалённый вход на этот компьютер, используя

службу терминалов или удаленный рабочий стол.

11 Кешированный интерактив (CachedInteractive) Пользователь вошёл на этот

компьютер с сетевыми учётными данными, которые хранились локально на компьютере.

12 Кешированный удаленный интерактив (CachedRemoteInteractive) Метод используется для внутреннего аудита, аналогичен типу 11.

 

События администрирования

Вернемся к приложению локальная политика безопасности. Рассмотрим аудит управления учетными записями.

Данный аудит фиксирует события, которые связаны с управлением учетными записями. Фиксируются изменения в учетных записях. Если вы добавите новую учетную запись пользователя, или удалите существующую, то в журнале будет запись о том кто (имя учетной записи) когда и какое действие с учетной записью (создал, удалил, изменил) произвел.

Для примера я включил оба типа событий.

Аудит управления учетными записями в Windows

Затем я изменил тип учетной записи – сделал пользователя администратором.

Изменение учетной записи пользователя

В журнале безопасности появилась соответствующая запись.

Журнал безопасности Windows: аудит учетных записей

Если присмотреться, можно увидеть несколько записей. Это связано с тем, что когда я назначил пользователя администратором, то он стал членом групп, в которые входит администратор. На каждую группу создалась соответствующая запись.

Аудит изменения политики

Данный параметр фиксирует события связанные с изменением политик аудита. Разберемся на примере. Я включил оба типа событий.

Аудит изменения политики

После чего я добавил пользователя Local use в свойства прав архивация файлов и каталогов.

Событие: назначение прав на архивацию файлов и каталогов

Теперь в журнале безопасности мы видим соответствующую запись об изменении прав пользователя.

Попробуйте выполнить какие-либо действия с политиками и отследить их в журнале безопасности операционной системы.

Аудит использования привилегий

Аудит использования привилегий фиксирует события связанные с применением пользователем назначенных ему привилегий.

Например, у пользователя есть привилегия на изменение системного времени. Включите тип события успех в аудите.

Измените системное время.

Изменение системного времени в Windows 10

В журнале безопасности вы увидите соответствующую запись о том, что системное время изменено.

Событие безопасности: изменение системного времени

Аудит событий операционной системы

Для аудита событий происходящих с операционной системой (например, отключение элементов безопасности системы) предназначен параметр аудит системных событий.

Я включу аудит событий с типом успех. Затем очищу журнал аудита событий.

Очистка журнала событий безопасности

После этого действия журнал будет содержать одну запись – журнал аудита был очищен. В записи содержится имя пользователя, который выполнил очистку журнала.

Свойство события очистка журнала

Аудит доступа пользователя к объектам

Этот аудит фиксирует события, которые связаны с доступом к файлам, папкам, реестру, оборудованию и так далее. При этом можно настроить аудит на различные типы доступа к папкам и файлам, например чтение, изменение, печать.

Я включу аудит двух типов событий.

Этот вид аудита в операционной системе Windows доступен только для файловой системы NTFS. При этом аудит доступен, если включить его в самом объекте.

Аудит безопасности файлов

Для примера я создам текстовый фал. Для настройки нужно перейти в его свойства -> безопасность -> дополнительно -> аудит. Далее следует добавить субъект и разрешения.Тип события: чтение и выполнение файла

Я установил тип успех на чтение и выполнение этого файла.

 

После применения аудита я открыл и прочитал файл. Об этом появилась соответствующая запись в журнале безопасности.

Управление журналом аудита

Если вы войдете в операционную систему под учетной записью обычного пользователя, то вы не сможете просмотреть журнал событий безопасности.

Ошибка доступа к журналу безопасности Windows

Что бы выдать права для работы с журналом пользователю необходимо войти под учетной записью администратора в локальную политику безопасности и добавить пользователя в список учетных записей «Управление аудитом и журналом безопасности».

Добавить пользователя в журнал безопасности

При необходимости администратор может настроить вид журнала безопасности для определенного пользователя. Делается это с помощью меню фильтр текущего журнала.

Фильтр текущего журнала безопасности

На этом короткое руководство по аудиту событий безопасности в операционной системе Windows закончено.

Если у вас возникли вопросы – задавайте их в комментариях к данной заметке.

 

 


Анатолий Бузов
Анатолий Бузов / автор материала / об авторе / услуги / проекты

Обучаю HTML, CSS, PHP. Создаю и продвигаю сайты, скрипты и программы. Занимаюсь информационной безопасностью. Рассмотрю различные виды сотрудничества.


Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *