Co je úspěch auditu nebo selhání auditu v prohlížeči událostí

Pokud jde o Prohlížeč událostí, existují dva typy výsledků, které můžete získat z auditu – úspěch nebo neúspěch. Ale co každý z nich znamená? Zde je rychlé vysvětlení každého z nich.

Úspěch auditu

Úspěch auditu znamená, že auditovaná akce byla úspěšně dokončena. Může to být něco jako přihlášení uživatele do systému nebo spuštěný proces. V podstatě vše, co jste nakonfigurovali Prohlížeč událostí ke sledování a vytváření přehledů.

Selhání auditu

Selhání auditu na druhé straně znamená, že auditovaná akce nebyla úspěšně dokončena. Může to být způsobeno řadou důvodů, například nesprávným zadáním hesla nebo tím, že uživatel nemá potřebná oprávnění k provedení akce. Opět platí, že cokoli, co jste nakonfigurovali Prohlížeč událostí ke sledování a vytváření zpráv, může vést k selhání auditu.

Takže tady to máte – rychlé vysvětlení úspěchu a neúspěchu auditu v Prohlížeči událostí. Jako vždy, pokud máte nějaké dotazy, neváhejte se obrátit na náš tým IT odborníků.

Pro usnadnění odstraňování problémů zobrazuje Prohlížeč událostí zabudovaný do operačního systému Windows protokoly systémových a aplikačních zpráv, které obsahují chyby, varování a informace o konkrétních událostech, které může správce analyzovat, aby mohl podniknout příslušné kroky. V tomto příspěvku diskutujeme Úspěch auditu nebo selhání auditu v prohlížeči událostí .

Co je úspěch auditu nebo selhání auditu v prohlížeči událostí

V prohlížeči událostí Audit úspěchu je událost, která zaprotokoluje úspěšný ověřený pokus o bezpečný přístup, zatímco Chyba auditu je událost, která zaznamenává neúspěšný pokus o ověřený bezpečný přístup. Toto téma probereme v následujících podnadpisech:

1. Zásady auditu
2. Povolit zásady auditu
3. Pomocí prohlížeče událostí vyhledejte zdroj neúspěšných nebo úspěšných pokusů
4. Alternativy k použití Prohlížeče událostí

Podívejme se na to podrobně.

Zásady auditu

Zásada auditu definuje typy událostí, které se zapisují do protokolů zabezpečení, a tyto zásady generují události, které mohou být úspěšné nebo neúspěšné. Vygenerují se všechny zásady auditu Hodně štěstí Události ; vygeneruje však pouze několik z nich Události selhání . Můžete nakonfigurovat dva typy zásad auditu, konkrétně:

• Základní zásady auditu má 9 kategorií zásad auditu a 50 podkategorií zásad auditu, které lze podle potřeby povolit nebo zakázat. Níže je uveden seznam 9 kategorií zásad auditu.
  • Auditujte události přihlášení k účtu
  • Auditovat události přihlášení
  • Audit správy účtu
  • Audit přístupu k adresářové službě
  • Audit přístupu k objektu
  • Změna zásad auditu
  • Využití oprávnění auditu
  • Sledování procesu auditu
  • Auditování systémových událostí. Toto nastavení zásad určuje, zda se má provést audit, když uživatel restartuje nebo vypne počítač, nebo když dojde k události, která ovlivní zabezpečení systému nebo protokol zabezpečení. Další informace a související události přihlášení naleznete v dokumentaci společnosti Microsoft na adrese Learn.microsoft.com/Basic-Audit-System-Events .
• Pokročilé zásady auditu který má 53 kategorií, takže se doporučuje, protože můžete definovat podrobnější zásady auditu a protokolovat pouze relevantní události, což je užitečné zejména při generování velkého počtu protokolů.

Chyby auditu se obvykle vyskytují, když selže požadavek na přihlášení, ačkoli mohou být způsobeny také změnami účtů, objektů, zásad, oprávnění a dalších systémových událostí. Dvě nejčastější události jsou:

• ID události 4771: Předběžné ověření Kerberos se nezdařilo . Tato událost je generována pouze na řadičích domény a není generována, pokud Nevyžadujte předběžné ověření Kerberos možnost je nastavena pro účet. Další informace o této události a o tom, jak tento problém vyřešit, naleznete v části Dokumentace společnosti Microsoft .
• ID události 4625: Nepodařilo se přihlásit k účtu . Tato událost je generována, když selže pokus o přihlášení k účtu a uživatel je již zablokován. Další informace o této události a o tom, jak tento problém vyřešit, naleznete v části Dokumentace společnosti Microsoft .

Číst : Jak zkontrolovat protokol vypínání a spouštění ve Windows

Povolit zásady auditu

Zásady auditu na klientských nebo serverových počítačích můžete povolit prostřednictvím Editoru místních zásad skupiny nebo Konzoly pro správu zásad skupiny nebo Editor místních zásad zabezpečení . Na serveru Windows ve vaší doméně buď vytvořte nový GPO, nebo upravte existující GPO.

Na klientském nebo serverovém počítači přejděte v Editoru zásad skupiny na následující cestu:

V počítači klienta nebo serveru přejděte v místní zásadě zabezpečení na následující cestu:

• V části Zásady auditu v pravém podokně poklepejte na zásadu, jejíž vlastnosti chcete změnit.
• Na panelu vlastností můžete povolit zásady pro Hodně štěstí nebo Odmítnutí dle vašeho požadavku.

Číst : Jak obnovit všechna nastavení zásad místní skupiny na výchozí v systému Windows

Pomocí prohlížeče událostí vyhledejte zdroj neúspěšných nebo úspěšných pokusů

Správci a běžní uživatelé mohou otevřít Prohlížeč událostí na místním nebo vzdáleném počítači s příslušnými oprávněními. Prohlížeč událostí nyní zaznamená událost pokaždé, když dojde k selhání nebo úspěchu, ať už na klientském počítači nebo doméně na serveru. ID události, které se spustí při registraci neúspěšné nebo úspěšné události, se liší (viz níže). Zásady auditu část výše). Můžeš jít do Prohlížeč událostí > Okna deníku > Bezpečnost . Panel ve středu obsahuje seznam všech událostí nakonfigurovaných pro auditování. Budete se muset podívat na zaznamenané události, abyste našli neúspěšné nebo úspěšné pokusy. Jakmile je najdete, můžete na událost kliknout pravým tlačítkem a vybrat Vlastnosti události Více informací.

Číst : Použijte Prohlížeč událostí ke kontrole neoprávněného použití počítače se systémem Windows.

Alternativy k použití Prohlížeče událostí

Alternativou k používání Prohlížeče událostí je několik softwaru Event Log Manager od třetích stran, který lze použít k agregaci a korelaci dat událostí z různých zdrojů, včetně cloudových služeb. Řešení SIEM je nejlepší volbou, pokud potřebujete shromažďovat a analyzovat data z firewallů, systémů prevence narušení (IPS), zařízení, aplikací, přepínačů, směrovačů, serverů a dalších.

cutepdf windows 10

Doufám, že tento příspěvek považujete za dostatečně informativní!

Nyní čtěte : Jak povolit nebo zakázat zabezpečené protokolování událostí ve Windows

Proč je důležité kontrolovat úspěšné i neúspěšné pokusy o přístup?

Je důležité auditovat události přihlášení, ať už byly úspěšné nebo neúspěšné, a detekovat pokusy o narušení, protože auditování přihlášení uživatelů je jediný způsob, jak zjistit všechny neoprávněné pokusy o přihlášení k doméně. Události odhlášení nejsou sledovány na řadičích domény. Stejně důležité je také sledovat neúspěšné pokusy o přístup k souboru, protože záznam auditu se vytvoří pokaždé, když se jakýkoli uživatel neúspěšně pokusí o přístup k objektu systému souborů, který má odpovídající SACL. Tyto události jsou vyžadovány ke sledování aktivity objektů souborů, které jsou citlivé nebo cenné a vyžadují další monitorování.

Číst : Posílení zásad přihlašovacího hesla systému Windows a zásady uzamčení účtu

Jak povolit protokoly chyb auditu ve službě Active Directory?

Chcete-li povolit protokoly chyb auditu ve službě Active Directory, jednoduše klepněte pravým tlačítkem myši na objekt služby Active Directory, který chcete zkontrolovat, a vyberte jej Charakteristika . Vybrat Bezpečnost kartu a poté vyberte Pokročilý . Vybrat Audit kartu a poté vyberte Přidat . Chcete-li zobrazit protokoly auditu ve službě Active Directory, klepněte na Odstartovat > Zabezpečení systému > Nástroje pro správu > Prohlížeč událostí . Ve službě Active Directory je auditování procesem shromažďování a analýzy objektů AD a dat zásad skupiny s cílem proaktivně zlepšit zabezpečení, rychle detekovat hrozby a reagovat na ně a zajistit hladký chod IT operací.