Windows Server 2008 R2 में सक्रिय निर्देशिका डोमेन सेवाओं का ऑडिट करना

Windows Server 2008 R2 में सक्रिय निर्देशिका डोमेन सेवाओं का ऑडिट करना

आईटी वातावरण स्थिर नहीं है। हर मिनट, सिस्टम में हजारों परिवर्तन होते हैं जिन्हें ट्रैक और लॉग इन करना पड़ता है। संरचना का आकार और जटिलता जितनी अधिक होगी, प्रशासन और डेटा प्रकटीकरण में त्रुटियों की संभावना उतनी ही अधिक होगी। परिवर्तनों के निरंतर विश्लेषण (सफल या असफल) के बिना, वास्तव में सुरक्षित वातावरण का निर्माण नहीं किया जा सकता है। व्यवस्थापक को हमेशा यह उत्तर देना चाहिए कि कब, क्या और किसने बदला, किसको अधिकार दिए गए हैं, परिवर्तनों के मामले में क्या हुआ (सफल या असफल), पुराने और नए मापदंडों के मूल्य क्या हैं, जो सिस्टम में लॉग इन नहीं कर पाए या संसाधन तक पहुँच नहीं कर सके, जिन्होंने हटा दिया डेटा और इतने पर। परिवर्तनों का ऑडिट आईटी बुनियादी ढांचे के प्रबंधन का एक अभिन्न अंग बन गया है, लेकिन संगठन हमेशा ऑडिटिंग पर ध्यान नहीं देते हैं, अक्सर तकनीकी समस्याओं के कारण। आखिरकार, यह पूरी तरह से स्पष्ट नहीं है कि क्या और कैसे निगरानी करना है, और इस मामले में प्रलेखन हमेशा मदद नहीं करता है। जिन घटनाओं को ट्रैक करने की आवश्यकता है, वे पहले से ही अपने आप में एक जटिलता हैं, डेटा की मात्रा बड़ी है, और मानक उपकरण सुविधाजनक नहीं हैं और ट्रैकिंग के कार्य को सरल बनाने में सक्षम हैं। विशेषज्ञ को ऑडिट को स्वतंत्र रूप से कॉन्फ़िगर करना होगा, इष्टतम ऑडिट मापदंडों को सेट करना, इसके अलावा, उसे परिणामों का विश्लेषण करना और चयनित घटनाओं पर रिपोर्ट बनाना होगा। यह देखते हुए कि नेटवर्क पर कई सेवाएं चल रही हैं - सक्रिय निर्देशिका / जीपीओ, एक्सचेंज सर्वर, एमएस SQL ​​सर्वर, वर्चुअल मशीन और इतने पर, बहुत बड़ी संख्या में घटनाओं को उत्पन्न करना, केवल विवरणों का पालन करते हुए, वास्तव में आवश्यक लोगों का चयन करना बहुत मुश्किल है।
नतीजतन, प्रशासक बैकअप गतिविधियों को पर्याप्त मानते हैं, समस्याओं के मामले में पुरानी सेटिंग्स पर वापस जाना पसंद करते हैं। ऑडिट को लागू करने का निर्णय अक्सर गंभीर घटनाओं के बाद ही किया जाता है। अगला, हम उदाहरण के रूप में Windows Server 2008 R2 का उपयोग करके सक्रिय निर्देशिका ऑडिटिंग को कॉन्फ़िगर करने का तरीका देखेंगे ।

सक्रिय निर्देशिका लेखा परीक्षा

विंडोज सर्वर 2008 में, पिछले विंडोज सर्वर 2003 की तुलना में, सुरक्षा नीतियों के माध्यम से कॉन्फ़िगर किए गए ऑडिट सबसिस्टम क्षमताओं को अपडेट किया जाता है, और मॉनिटर किए गए मापदंडों की संख्या 53 से बढ़ जाती है। विंडोज सर्वर 2003 में केवल डायरेक्ट्री सर्विस एक्सेस ऑडिट पॉलिसी थी जो निर्देशिका सेवा घटनाओं के ऑडिट को शामिल करने और निष्क्रिय करने को नियंत्रित करती थी। । अब आप श्रेणी स्तर पर ऑडिट का प्रबंधन कर सकते हैं। उदाहरण के लिए, सक्रिय निर्देशिका ऑडिट नीतियों को 4 श्रेणियों में विभाजित किया गया है, जिनमें से प्रत्येक में विशिष्ट पैरामीटर कॉन्फ़िगर किए गए हैं:

- निर्देशिका सेवा पहुंच ( निर्देशिका सेवा तक पहुंच);
- निर्देशिका सेवा परिवर्तन (निर्देशिका सेवा परिवर्तन);
- निर्देशिका सेवा प्रतिकृति (निर्देशिका सेवा प्रतिकृति);
- विस्तृत निर्देशिका सेवा प्रतिकृति ।

जब आप वैश्विक ऑडिट नीति ऑडिट निर्देशिका सेवा एक्सेस को सक्षम करते हैं, तो निर्देशिका सेवा नीति के सभी उपश्रेणी स्वचालित रूप से सक्रिय हो जाते हैं।
Windows Server 2008 में ऑडिटिंग सिस्टम ऑब्जेक्ट बनाने, संशोधित करने, स्थानांतरित करने और पुनर्स्थापित करने के सभी प्रयासों को ट्रैक करता है। परिवर्तित विशेषता के पिछले और वर्तमान मान और ऑपरेशन करने वाले उपयोगकर्ता के खाते को लॉग में दर्ज किया गया है। लेकिन अगर विशेषताओं के लिए ऑब्जेक्ट बनाते समय डिफ़ॉल्ट पैरामीटर का उपयोग किया गया था, तो उनके मान लॉग नहीं हैं।

नोट: Windows Server 2003 में, ऑडिटिंग केवल परिवर्तित विशेषता का नाम पंजीकृत करता है।

Windows Server 2008 R2 में, ऑडिटिंग का उपयोग करके लागू किया जाता है:

- ग्लोबल ऑडिट पॉलिसी (जीएपी);
- सिस्टम एक्सेस कंट्रोल लिस्ट (एसएसीएल) - उन कार्यों को परिभाषित करता है जिनके लिए ऑडिट किया जाएगा;
- योजनाओं - घटनाओं की सूची के अंतिम गठन के लिए उपयोग किया जाता है।

डिफ़ॉल्ट रूप से, क्लाइंट सिस्टम के लिए ऑडिटिंग अक्षम है, सर्वर सिस्टम के लिए, सक्रिय निर्देशिका निर्देशिका सेवा उपश्रेणी सक्रिय है, बाकी अक्षम हैं। वैश्विक नीति "ऑडिट डायरेक्टरी सर्विस एक्सेस" को सक्षम करने के लिए, आपको सुरक्षा सेटिंग्स / स्थानीय नीतियों / ऑडिट पॉलिसी शाखा में जाने के लिए समूह नीति प्रबंधन संपादक को कॉल करना होगा, जहां आप पॉलिसी को सक्रिय कर सकते हैं और नियंत्रित ईवेंट्स (सफलता, विफलता) सेट कर सकते हैं।


चित्रा 1 सक्षम निर्देशिका सेवा पहुंच लेखा परीक्षा नीति

दूसरा तरीका कॉन्फ़िगरेशन के लिए ऑडिटपोल कमांड-लाइन उपयोगिता का उपयोग करना है, मापदंडों के साथ पूर्ण जीएपी सूची प्राप्त करना है। ऑडिटपोल के साथ , बस कमांड दर्ज करें:
> auditpol /list /subcategory:*


अंजीर। 2 ऑडिटपोल का उपयोग करके प्रतिष्ठानों की एक सूची प्राप्त करें

हम नीति "निर्देशिका सेवा पहुंच" को सक्रिय करते हैं:

> auditpol /set /subcategory:"directory service changes" /success:enable

नोट: कमांड के बारे में विस्तृत जानकारी इसे इस प्रकार चलाकर प्राप्त की जा सकती है
ऑडिटपोल / एच

प्रतीक्षा न करने के लिए, हम डोमेन नियंत्रक नीति को अपडेट करते हैं:

> gpupdate

ऑडिट पॉलिसी उपश्रेणी निर्देशिका निर्देशिका तक पहुंच 4662 कोड के साथ सुरक्षा लॉग में घटनाओं को उत्पन्न करती है, जिसे इवेंट व्यूअर कंसोल, विंडोज लॉग्स - सुरक्षा टैब का उपयोग करके देखा जा सकता है।


अंजीर। 3 इवेंट व्यूअर के साथ इवेंट व्यूअर

घटनाओं को देखने के विकल्प के रूप में, आप PowerShell Get-EventLog cmdlet का उपयोग कर सकते हैं। उदाहरण के लिए:

PS> Get-EventLog security | ?{$_.eventid -eq 4662}

नोट: Get-EventLog cmdlet 14 मापदंडों को स्वीकार कर सकती है जो कुछ मानदंड के अनुसार घटनाओं को फ़िल्टर करते हैं: बाद में, AsBaseObject, AsString, इससे पहले, ComputerName, EntryType, Index, InstanceID, List, Logame, Message, Newest, Source, और UserName।


चित्र 4 Get-EventLog का उपयोग करके घटनाओं की एक सूची प्राप्त करें

इसके अलावा, कई अन्य घटनाएं 5136 (विशेषता परिवर्तन), 5137 (विशेषता निर्माण), 5138 (विशेषता विलोपन रद्द करें) और 5139 (विशेषता आंदोलन) दर्ज की जाती हैं।
सुविधा के लिए, इवेंट व्यूअर कंसोल में कुछ घटनाओं के चयन में फिल्टर और कस्टम दृश्य, साथ ही एक सदस्यता का उपयोग किया जाता है जो आपको अन्य सर्वर से लॉग डेटा एकत्र करने की अनुमति देता है।

तालिका 1. सक्रिय निर्देशिका इवेंट की सूची विंडोज सर्वर 2008 में ऑडिटिंग इवेंट

प्रमाणिक सत्यापन
आईडी संदेश
4774 खाता लॉगिन करने के लिए मैप किया गया है।
4775 लॉगिन खाता मैप नहीं किया जा सका।
4776 डोमेन नियंत्रक खाते के लिए क्रेडेंशियल्स को सत्यापित करने का प्रयास किया गया था।
4777 डोमेन नियंत्रक खाते के लिए क्रेडेंशियल्स को सत्यापित करने में विफल।

कंप्यूटर खाता प्रबंधन
आईडी संदेश
4741 एक कंप्यूटर खाता बनाया गया है।
4742 कंप्यूटर खाता बदल दिया गया है।
4743 कंप्यूटर खाता हटा दिया गया है।

वितरण समूह प्रबंधन
आईडी संदेश
4744 सुरक्षा सत्यापन अक्षम के साथ एक स्थानीय समूह बनाया गया है।
4745 सुरक्षा सत्यापन अक्षम के साथ एक स्थानीय समूह बदल दिया गया है।
4746 सुरक्षा सत्यापन के साथ एक उपयोगकर्ता को स्थानीय समूह में जोड़ा गया है।
4747 सुरक्षा सत्यापन के साथ एक उपयोगकर्ता को स्थानीय समूह से हटा दिया गया था।
4748 अक्षम सुरक्षा सत्यापन के साथ एक स्थानीय समूह हटा दिया गया।
4749 सुरक्षा सत्यापन अक्षम के साथ एक वैश्विक समूह बनाया गया है।
4750 विकलांग सुरक्षा सत्यापन के साथ वैश्विक समूह में बदलाव।
4751 एक उपयोगकर्ता को वैश्विक समूह में सुरक्षा सत्यापन अक्षम के साथ जोड़ा गया है।
4752 किसी उपयोगकर्ता को सुरक्षा सत्यापन अक्षम वैश्विक समूह से निकाला गया।
4753 अक्षम सुरक्षा सत्यापन के साथ एक वैश्विक समूह हटा दिया गया।
4759 सुरक्षा सत्यापन अक्षम के साथ एक सार्वभौमिक समूह बनाया गया है।
4760 सुरक्षा सत्यापन के साथ एक सार्वभौमिक समूह को बदल दिया गया है।
4761 एक सदस्य को सुरक्षा सत्यापन अक्षम के साथ एक सार्वभौमिक समूह में जोड़ा गया है।
4762 एक उपयोगकर्ता को सुरक्षा सत्यापन अक्षम के साथ एक सार्वभौमिक समूह से हटा दिया गया है।
अन्य खाता प्रबंधन ईवेंट
आईडी संदेश
4739 डोमेन नीति बदल दी गई है।
4782 पासवर्ड उस तक पहुंच खाते का हैश है।
4793 पासवर्ड पॉलिसी चेक एपीआई को कहा जाता था।
सुरक्षा समूह प्रबंधन
आईडी संदेश
4727 एक वैश्विक सुरक्षा-सक्षम समूह बनाया गया है।
4728 एक उपयोगकर्ता को सक्षम सुरक्षा के साथ एक वैश्विक समूह में जोड़ा गया है।
4729 किसी उपयोगकर्ता को वैश्विक सुरक्षा-सक्षम समूह से निकाल दिया गया है।
4730 सुरक्षा सक्षम के साथ वैश्विक समूह हटाए गए।
4731 सुरक्षा सक्षम एक स्थानीय समूह बनाया गया है।
4732 सुरक्षा सक्षम के साथ एक उपयोगकर्ता को एक स्थानीय समूह में जोड़ा गया है।
4733 किसी उपयोगकर्ता को सुरक्षा सक्षम के साथ स्थानीय समूह से निकाला।
4734 सुरक्षा सक्षम के साथ एक स्थानीय समूह हटा दिया गया।
4735 सुरक्षा सक्षम स्थानीय समूह को बदल दिया गया है।
4737 सुरक्षा-सक्षम वैश्विक समूह को बदल दिया गया है।
4754 एक सार्वभौमिक सुरक्षा-सक्षम समूह बनाया गया है।
4755 सुरक्षा सक्षम वाले सार्वभौमिक समूह को बदल दिया गया है।
4756 एक उपयोगकर्ता को सक्षम सुरक्षा के साथ एक सार्वभौमिक समूह में जोड़ा गया है।
4757 एक उपयोगकर्ता को सुरक्षा सक्षम के साथ सार्वभौमिक समूह से हटा दिया गया है।
4758 सक्षम सुरक्षा के साथ एक सार्वभौमिक समूह हटा दिया गया।
4764 समूह प्रकार परिवर्तित।

उपयोगकर्ता खाता प्रबंधन
आईडी संदेश
4720 उपयोगकर्ता खाता बनाया गया।
4722 उपयोगकर्ता खाता सक्षम है।
4723 खाता पासवर्ड बदल दिया गया है।
4724 उपयोगकर्ता का पासवर्ड रीसेट करें।
4725 उपयोगकर्ता खाता अक्षम है।
4726 उपयोगकर्ता खाता हटा दिया गया है।
4738 उपयोगकर्ता खाता बदल दिया गया है।
4740 उपयोगकर्ता खाता बंद है।
खाते में 4765 SID लॉग जोड़ा गया है।
4766 खाता लॉग SID जोड़ने में विफल।
4767 उपयोगकर्ता खाता अनलॉक किया गया है।
4780 एक पहुंच नियंत्रण सूची उन खातों पर स्थापित की गई है जो प्रशासक समूह के सदस्य हैं।
4781 खाता नाम बदल दिया गया है।
4794 निर्देशिका सेवाओं की पुनर्प्राप्ति मोड सेट करने का प्रयास किया गया था।
5376 क्रेडेंशियल मैनेजर: क्रेडेंशियल सहेजे गए थे।
5377 क्रेडेंशियल मैनेजर: क्रेडेंशियल बैकअप से बहाल किए गए थे।

अन्य घटनाएँ
आईडी संदेश
1102 क्लीयर सिक्योरिटी लॉग
4624 सफल लॉगिन
4625 लॉगिन विफल

अन्य विशेषताएं ऑडिट पॉलिसी शाखा में भी सक्रिय हैं (आंकड़ा 1 देखें): लॉगिन / लॉगऑन ऑडिट, खाता प्रबंधन ऑडिट, वस्तुओं तक पहुंच, नीति में बदलाव, और इसी तरह। उदाहरण के लिए, हम एक साझा फ़ोल्डर के उदाहरण का उपयोग करके वस्तुओं तक पहुंच का एक ऑडिट स्थापित करेंगे। ऐसा करने के लिए, ऊपर वर्णित के रूप में सक्रिय करें, ऑडिट ऑब्जेक्ट एक्सेस पॉलिसी, फिर फ़ोल्डर का चयन करें और फ़ोल्डर गुण मेनू को कॉल करें, जिसमें हम सुरक्षा उप-आइटम पर जाते हैं और उन्नत बटन पर क्लिक करते हैं। अब "उन्नत सुरक्षा सेटिंग्स के लिए .." विंडो जो खुलती है, ऑडिट टैब पर जाएं और एडिट बटन पर क्लिक करें और फिर उस खाते या समूह को जोड़ें और निर्दिष्ट करें जिसके लिए ऑडिट किया जाएगा। अगला, हम मॉनिटर की गई घटनाओं (निष्पादन, पढ़ना, फ़ाइल निर्माण, आदि) और परिणाम (सफलता या विफलता) को नोट करते हैं। " लागू करें " सूची का उपयोग करके, हम ऑडिट नीति के दायरे को इंगित करते हैं। हम परिवर्तनों की पुष्टि करते हैं।


चित्र 5 साझा किए गए फ़ोल्डर ऑडिट को कॉन्फ़िगर करना

अब इन सभी ऑपरेशनों को सुरक्षा लॉग में प्रदर्शित किया जाएगा।
बड़ी संख्या में ऑब्जेक्ट्स के साथ ऑडिटिंग के कॉन्फ़िगरेशन को सरल बनाने के लिए, पैरेंट ऑब्जेक्ट चेक बॉक्स से मापदंडों के इनहेरिटेंस को सक्रिय करें। उसी समय, फ़ील्ड से इनहेरिटेड में, मूल ऑब्जेक्ट जिसमें से सेटिंग्स ली गई हैं, दिखाया जाएगा।
लॉग में दर्ज की गई घटनाओं पर अधिक नियंत्रण, ग्रैन्युलर ऑडिट पॉलिसी को लागू करने से प्राप्त होता है, जिसे सुरक्षा सेटिंग्स / स्थानीय नीतियों / उन्नत ऑडिट पॉलिसी कॉन्फ़िगरेशन में कॉन्फ़िगर किया गया है । 10 उपप्रदेश हैं:

- अकाउंट लॉगऑन - क्रेडेंशियल वेरिफिकेशन, केर्बरोस ऑथेंटिकेशन सर्विसेज, केर्बरोस टिकट ऑपरेशंस, अन्य लॉगइन इवेंट्स का ऑडिट;
- खाता प्रबंधन - आवेदन समूहों, कंप्यूटर और उपयोगकर्ता खातों, सुरक्षा और वितरण समूहों के प्रबंधन का लेखा-जोखा;
- विस्तृत ट्रैकिंग - आरपीसी और डीपीएपीआई कार्यक्रम, निर्माण और प्रक्रियाओं की समाप्ति;
- डीएस निर्देशिका सेवा तक पहुंच - निर्देशिका सेवा की पहुंच, परिवर्तन, प्रतिकृति और विस्तृत प्रतिकृति का ऑडिट;
- लॉगिन / लॉगआउट - खाता लॉकआउट, लॉगिन और लॉगआउट का ऑडिट, IPSec का उपयोग, नेटवर्क पॉलिसी सर्वर;
- वस्तुओं तक पहुंच - कर्नेल ऑब्जेक्ट्स का ऑडिट, डिस्क्रिप्टर के साथ काम करना, एप्लिकेशन द्वारा बनाई गई घटनाएं, प्रमाणन सेवाएं, फ़ाइल सिस्टम, सार्वजनिक फ़ोल्डर, फ़िल्टरिंग प्लेटफ़ॉर्म;
- नीति में परिवर्तन - ऑडिट नीति, प्रमाणीकरण, प्राधिकरण, फ़िल्टरिंग प्लेटफ़ॉर्म, MPSSVC सुरक्षा सेवा नियमों और अन्य में परिवर्तन;
- अधिकारों का उपयोग - डेटा की विभिन्न श्रेणियों तक पहुंच के अधिकारों का ऑडिट;
- सिस्टम - सिस्टम की अखंडता का ऑडिट, सुरक्षा स्थिति में परिवर्तन और संवर्द्धन, IPSec ड्राइवर और अन्य घटनाओं;
- वैश्विक वस्तुओं की ऑडिट एक्सेस - फाइल सिस्टम और रजिस्ट्री का ऑडिट।


चित्र 6 उपलब्ध उन्नत ऑडिट नीति कॉन्फ़िगरेशन सेटिंग्स
उपयोगकर्ता खाता प्रबंधन का एक ऑडिट सक्रिय करने से आप निगरानी कर पाएंगे: निर्माण, संशोधन, विलोपन, अवरोधन, समावेशन और पासवर्ड और अनुमतियां सहित अन्य खाता सेटिंग्स। आइए देखें कि यह व्यवहार में कैसे काम करता है - हम उपयोगकर्ता खाता प्रबंधन उपश्रेणी का चयन करते हैं और इसे सक्रिय करते हैं। ऑडिटपोल के लिए आदेश इस तरह दिखता है:
> auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable
> gpudate

इवेंट व्यूअर कंसोल में ऑडिट सिस्टम तुरंत इवेंट नंबर 4719 दिखाएगा। ऑडिट सेटिंग्स बदलें, जो पॉलिसी का नाम और नए मान दिखाता है।


अंजीर। 7 लेखा परीक्षा प्रणाली द्वारा एक नीति परिवर्तन करना

एक ईवेंट बनाने के लिए, सक्रिय निर्देशिका कंसोल - उपयोगकर्ता और कंप्यूटर खोलें और किसी भी खाते के मापदंडों में से एक को बदलें - उदाहरण के लिए, एक उपयोगकर्ता को एक सुरक्षा समूह में जोड़ें। ईवेंट व्यूअर कंसोल में, कई ईवेंट तुरंत उत्पन्न हो जाएंगे: ईवेंट्स की संख्या 4732 और 4735 , सुरक्षा समूह की संरचना में परिवर्तन और एक नए सुरक्षा समूह खाते को जोड़ने (चित्र 8 में बैंगनी में हाइलाइट किए गए) के अलावा।
आइए एक नया खाता बनाएं - सिस्टम कई ईवेंट बनाता है: 4720 (नया अकाउंट बनाना), 4724 (अकाउंट पासवर्ड को रीसेट करने की कोशिश करना), कोड 4738 (अकाउंट को बदलना) और अंत में, 4722 (नए अकाउंट को चालू करना) के साथ कई इवेंट। ऑडिट के अनुसार, व्यवस्थापक पुराने और नए विशेषता मान को ट्रैक कर सकता है - उदाहरण के लिए, एक खाता बनाते समय, यूएसी मान बदलता है।


चित्र 8 नया खाता बनाते समय, Windows Server 2008 ऑडिट सिस्टम कई ईवेंट बनाता है।

पूर्णकालिक ऑडिट प्रणाली का नुकसान

स्थापित ऑपरेटिंग सिस्टम टूल अक्सर विश्लेषण टूल के केवल मूल सेट प्रदान करते हैं। आधिकारिक दस्तावेज (http://technet.microsoft.com/en-us/library/dd772623(WS.10).aspx) बहुत ही समान रूप से टूल की क्षमताओं का वर्णन करता है, उन मापदंडों को चुनने में थोड़ी मदद करता है जिनके परिवर्तनों को ट्रैक करने की आवश्यकता होती है। नतीजतन, इस समस्या का समाधान पूरी तरह से सिस्टम प्रशासक के साथ रहता है, जिसे ऑडिट के तकनीकी पहलुओं को पूरी तरह से समझना चाहिए, और इसकी तैयारी के स्तर पर निर्भर करता है, जिसका अर्थ है कि त्रुटि की उच्च संभावना है। इसके अलावा, परिणाम का विश्लेषण, विभिन्न रिपोर्टों का निर्माण उसके कंधों पर टिकी हुई है।
विशिष्ट घटनाओं के चयन की सुविधा के लिए, इवेंट व्यूअर कंसोल इंटरफ़ेस आपको फ़िल्टर और कस्टम दृश्य बनाने की अनुमति देता है। डेटा चयन के मापदंडों के रूप में, आप निर्दिष्ट कर सकते हैं: तिथि, लॉग और घटनाओं का स्रोत, स्तर (महत्वपूर्ण, चेतावनी, त्रुटि, आदि), कोड, उपयोगकर्ता या कंप्यूटर, और कीवर्ड। एक संगठन में समूहों और इकाइयों में बड़ी संख्या में उपयोगकर्ता हो सकते हैं जिनके लिए ऑडिट को व्यक्तिगत रूप से कॉन्फ़िगर करने की आवश्यकता होती है, लेकिन इंटरफ़ेस में यह सुविधा प्रदान नहीं की जाती है।


अंजीर। 9 इवेंट व्यूअर कंसोल में ईवेंट फ़िल्टर को कॉन्फ़िगर करना

यदि कस्टम दृश्य में नियमों को ट्रिगर किया गया है, तो आप एक कार्य ( इवेंट मेनू में बाइंड कार्य ) बना सकते हैं: प्रोग्राम चलाएं, ई-मेल संदेश भेजें या डेस्कटॉप पर एक संदेश प्रदर्शित करें।


अंजीर। 10 इवेंट व्यूअर कंसोल में एक कार्य बनाना

लेकिन, फिर से, अलर्ट का कार्यान्वयन, विशेष रूप से घटनाओं की पसंद, पूरी तरह से व्यवस्थापक के साथ निहित है।
यदि पिछले मूल्य में परिवर्तित विशेषता को रोलबैक करना आवश्यक है, तो यह क्रिया मैन्युअल रूप से की जाती है - कंसोल केवल मापदंडों का मूल्य दिखाता है।


अंजीर। 11 विंडोज सर्वर 2008 ऑडिटिंग सिस्टम केवल सुविधाजनक रोलबैक के लिए एक साधन प्रदान किए बिना, पुराने और नए विशेषता मान लौटाता है

कुछ सुरक्षा मानकों को ऑडिट प्रक्रिया के दौरान एकत्रित डेटा के भंडारण की आवश्यकता होती है (उदाहरण के लिए, एसओएक्स 7 साल तक)। सिस्टम साधनों द्वारा इसे लागू करना संभव है, लेकिन यह बहुत मुश्किल है। सुरक्षा लॉग का आकार (साथ ही साथ अन्य) 128 एमबी तक सीमित है, और बड़ी संख्या में घटनाओं के साथ कुछ ही घंटों में डेटा को ओवरराइट (यानी खो गया) किया जा सकता है। इससे बचने के लिए, आपको इवेंट व्यूअर में लॉग गुण विंडो को कॉल करने की आवश्यकता है, जहां आप लॉग का आकार बढ़ा सकते हैं और भरने के दौरान बॉक्स " आर्काइव लॉग " की जांच करके इसकी संग्रह को सक्रिय कर सकते हैं। घटनाओं को अधिलेखित न करें । ”


अंजीर। 12 पुरानी सुरक्षा घटनाओं को न खोने के लिए, लॉग का आकार बढ़ाएँ और संग्रह सक्षम करें

लेकिन अब कई अभिलेखागार में घटनाओं की खोज की समस्या को हल करना आवश्यक होगा।
यह भी ध्यान देने योग्य है कि एक नियमित ऑडिट प्रणाली की सीमाओं में समूह नीतियों की सीमित निगरानी क्षमता शामिल है। इस तथ्य के बावजूद कि नियमित साधनों द्वारा इस बदलाव के तथ्य की निगरानी की जा सकती है, बदले हुए मापदंडों के मूल्य तय नहीं हैं और इस प्रकार, इस सवाल का उत्तर देना असंभव है कि वास्तव में क्या बदला गया और नया मूल्य क्या बन गया। कुछ स्थितियों में, यह पर्याप्त है, लेकिन इसे पूर्ण-संपन्न ऑडिट कहना मुश्किल है।

***
यह आलेख "सक्रिय निर्देशिका ऑडिटिंग पूर्ण गाइड के लिए विंडोज सर्वर 2008 आर 2" [पीडीएफ] का हिस्सा है। आप इसे एक संक्षिप्त रूप भरकर इस लिंक से डाउनलोड कर सकते हैं।