Windows Vista. Для профессионалов

Клименко Роман

– Logoff – события выхода из системы;

– Account Lockout – события политики блокировки окна входа при неправильном введении пароля учетной записи;

– IPSec Main Mode – события использования основного режима IPSec;

– IPSec Quick Mode – события использования быстрого режима IPSec;

– IPSec Extended Mode – события использования расширенного режима IPSec;

– Special Logon – события специального входа в систему;

– Other Logon/Logoff Events – другие события данной категории;

– Logon – события входа

в систему.

• Privilege Use – определяет аудит использования привилегий, предоставленных службе или пользователю. К данной категории относятся события, описывающие применение пользователем конкретной привилегии, а также описание этой привилегии (некоторые привилегии могут использоваться очень часто, поэтому они генерируют лишь событие при первом использовании). В нее входят следующие подкатегории:

– Non Sensitive Privilege Use – использование редко изменяемых привилегий;

– Other Privilege Use Events – применение других привилегий;

– Sensitive Privilege Use – использование часто изменяемых привилегий.

• Detailed Tracking – определяет категорию аудита отслеживания работы процессов и служб. Например, к данной категории относятся события создания служб и назначенных заданий, а также открытие и закрытие процессов. В нее входят следующие подкатегории:

– Process Termination – завершение работы процесса;

– DPAPI Activity – активация DPAPI;

– Other Detailed Tracking Events – другие изменения в процессах;

– Process Creation – создание процесса.

• System – определяет категорию слежения за системными событиями, касающимися системы безопасности Windows. Например, в данную категорию входят события о процессах начальной загрузки, выключения компьютера, аутентификации пользователя. В нее входят следующие подкатегории:

– Security System Extension – аудит расширений безопасности;

– System Integrity – аудит целостности системы;

– IPSec Driver – аудит драйвера IPSec;

– Other System Events – аудит других компонентов системы;

– Security State Change – аудит изменения параметров безопасности.

Подкатегории категорий аудита описывались выше не только для того, чтобы было более точно понятно, аудит чего именно выполняют данные категории. Вы можете просмотреть непосредственно состояние определенной подкатегории аудита. Для этого применяется команда audi tpol /get /Subcategory: «подкатегория».

Кроме того, в командах просмотра состояния аудита вы можете использовать параметр /г. При его использовании будет отображаться не только состояние аудита, но и такие дополнительные параметры, как имя компьютера, CLSID-номер подкатегории (его можно использовать в командах вместо названия подкатегории).

Можно также использовать параметр /user:, чтобы определить пользователя, состояние аудита для которого будет отображаться.

Например, чтобы просмотреть состояние аудита системных событий для пользователя Администратор (в расширенном

варианте), нужно воспользоваться командой auditpol /get /user: administrator /category: «system» /r.

Редактирование состояния категорий аудита

С помощью данной программы можно не только просматривать состояние аудита категорий, но и устанавливать новое состояние. Для этого применяются команды auditpol /set /category: «категория» или auditpol /set /subcategory: «подкатегория». При этом будет устанавливаться аудит успеха применения определенных категорией или подкатегорией прав.

Если же нужно установить аудит неудачных попыток применения определенных категорией или подкатегорией прав, то нужно воспользоваться следующими командами: auditpol /set /category: «категория» /failure: enable или auditpol /set /subcategory: «подкатегория» /failure: enable.

Если нужно установить аудит как удачных, так и неудачных попыток применения определенных категорией или подкатегорией прав, то нужно воспользоваться следующими командами: auditpol /set /category: «категория» /success: enable /failure: enable или auditpol /set /subcategory: «подкатегория» /success: enable /failure: enable.

Кроме того, можно отключить состояние определенных категорий аудита. Для этого в параметрах /success и /failure вместо значения enable нужно указать значение disable.

Вы также можете использовать параметр /user:, чтобы указать пользователя, для которого устанавливается данное состояние аудита.

Работа с дополнительными параметрами аудита

С помощью данной программы можно также включать или отключать дополнительные настройки работы аудита. Для этого применяются следующие значения параметра /option программы.

• CrashOnAuditFail – определяет, будет ли выполняться перезагрузка компьютера при невозможности записи события аудита. Это значение определяет значение параметра REG_DWORD-типа CrashOnAuditFail ветви реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa.

• FullPrivilegeAuditing – указывает, будет ли производиться аудит операций архивирования и восстановления. Данное значение определяет значение параметра REG_BINARY-типа FullPrivilegeAuditing ветви системного реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentContrо1Set\Control\Lsa.

• AuditBaseObjects – определяет, будет ли выполняться аудит доступа глобальных системных объектов. Оно определяет значение параметра REGDWORD-типа AuditBaseObjects ветви системного реестра HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Control\Lsa.

• AuditBaseDirectories – указывает, будет ли выполняться расширенный аудит доступа к каталогам. Определяет значение параметра REGDWORD-типа AuditBaseDirectories ветви реестра HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Control\Lsa.

Чтобы просмотреть текущее значение одного из приведенных выше параметров, нужно воспользоваться командой auditpol /get /option: «параметр».