Mitä tulee Tapahtumanvalvontaohjelmaan, auditoinnista voi saada kahdenlaisia tuloksia – onnistumisen tai epäonnistumisen. Mutta mitä kukin tarkoittaa? Tässä on nopea selitys jokaiselle.
Tarkastuksen menestys
Tarkastuksen onnistuminen tarkoittaa, että tarkastettava toimenpide on suoritettu onnistuneesti. Tämä voi olla esimerkiksi käyttäjän kirjautuminen järjestelmään tai käynnissä oleva prosessi. Pohjimmiltaan kaikki, mitä olet määrittänyt Event Viewerin seuraamaan ja raportoimaan.
Tarkastusvirhe
Tarkastuksen epäonnistuminen puolestaan tarkoittaa, että tarkastettavaa toimintoa ei suoritettu onnistuneesti. Tämä voi johtua useista syistä, kuten väärästä salasanasta tai käyttäjästä, jolla ei ole tarvittavia oikeuksia toiminnon suorittamiseen. Jälleen kaikki, mitä olet määrittänyt Event Viewerin seuraamaan ja raportoimaan, voi johtaa tarkastusvirheeseen.
Siinä se on – nopea selitys tarkastuksen onnistumisesta ja epäonnistumisesta Event Viewerissa. Kuten aina, jos sinulla on kysyttävää, ota rohkeasti yhteyttä IT-asiantuntijoihimme.
Vianmäärityksen helpottamiseksi Windows-käyttöjärjestelmään sisäänrakennettu Event Viewer näyttää järjestelmä- ja sovellusviestien lokit, jotka sisältävät virheitä, varoituksia ja tiettyjä tapahtumatietoja, joita järjestelmänvalvoja voi analysoida ja ryhtyä tarvittaviin toimiin. Tässä viestissä keskustelemme Tarkastuksen onnistuminen tai tarkastus epäonnistui Event Viewerissa .
Mikä on tarkastuksen onnistuminen tai tarkastuksen epäonnistuminen Event Viewerissa?
Tapahtuman katseluohjelmassa Menestyksen auditointi on tapahtuma, joka kirjaa onnistuneen varmennetun suojatun pääsyyrityksen Tarkastusvirhe on tapahtuma, joka kirjaa lokiin epäonnistuneen yrityksen varmennetun suojatun pääsyn luomiseksi. Keskustelemme tästä aiheesta seuraavissa alaotsikoissa:
- Tarkastuskäytännöt
- Ota tarkastuskäytännöt käyttöön
- Käytä tapahtumien katseluohjelmaa löytääksesi epäonnistuneiden tai onnistuneiden yritysten syyt
- Vaihtoehtoja Event Viewerin käytölle
Katsotaanpa tätä yksityiskohtaisesti.
Tarkastuskäytännöt
Valvontakäytäntö määrittää tapahtumatyypit, jotka kirjoitetaan suojauslokeihin, ja nämä käytännöt luovat tapahtumia, jotka voivat joko onnistua tai epäonnistua. Kaikki tarkastuskäytännöt luovat Onnea Tapahtumat ; kuitenkin vain harvat niistä tuottavat Epäonnistumistapahtumat . Voit määrittää kahdenlaisia valvontakäytäntöjä, nimittäin:
- Perustarkastuspolitiikka Siinä on 9 tarkastuskäytäntöluokkaa ja 50 tarkastuspolitiikan alaluokkaa, jotka voidaan ottaa käyttöön tai poistaa käytöstä tarpeen mukaan. Alla on luettelo 9 tarkastuspolitiikan kategoriasta.
- Tilin kirjautumistapahtumien tarkastaminen
- Tarkista kirjautumistapahtumat
- Tilinhallinnan tarkastus
- Hakemistopalvelun käytön tarkastus
- Objektin pääsyn tarkastus
- Tarkastuspolitiikan muuttaminen
- Tarkastusoikeuksien käyttö
- Tarkastusprosessin seuranta
- Tarkastusjärjestelmän tapahtumat. Tämä käytäntöasetus määrittää, tarkistetaanko, kun käyttäjä käynnistää tai sammuttaa tietokoneen tai kun tapahtuu tapahtuma, joka vaikuttaa joko järjestelmän suojaukseen tai suojauslokiin. Lisätietoja ja niihin liittyviä kirjautumistapahtumia on Microsoftin ohjeissa osoitteessa Learn.microsoft.com/Basic-Audit-System-Events .
- Kehittynyt tarkastuspolitiikka jossa on 53 luokkaa, joten sitä suositellaan, koska voit määrittää tarkemman tarkastuskäytännön ja kirjata vain merkitykselliset tapahtumat, mikä on erityisen hyödyllistä, kun luodaan suuri määrä lokeja.
Tarkastusvirheet tapahtuvat yleensä, kun kirjautumispyyntö epäonnistuu, vaikka ne voivat johtua myös tilien, objektien, käytäntöjen, oikeuksien ja muiden järjestelmätapahtumien muutoksista. Kaksi yleisintä tapahtumaa ovat:
- Tapahtumatunnus 4771: Kerberos-esitodennus epäonnistui . Tämä tapahtuma luodaan vain toimialueen ohjauskoneissa, eikä sitä luoda jos Älä vaadi Kerberos-esivarmennusta vaihtoehto on asetettu tilille. Lisätietoja tästä tapahtumasta ja tämän ongelman ratkaisemisesta on kohdassa Microsoftin dokumentaatio .
- Tapahtumatunnus 4625: Tiliin kirjautuminen epäonnistui . Tämä tapahtuma luodaan, kun tilille kirjautuminen epäonnistuu ja käyttäjä on jo lukittu. Lisätietoja tästä tapahtumasta ja tämän ongelman ratkaisemisesta on kohdassa Microsoftin dokumentaatio .
Lukea : Kuinka tarkistaa sammutus- ja käynnistysloki Windowsissa
Ota tarkastuskäytännöt käyttöön
Voit ottaa tarkastuskäytännöt käyttöön asiakas- tai palvelinkoneissa paikallisen ryhmäkäytäntöeditorin tai ryhmäkäytäntöjen hallintakonsolin kautta, tai Paikallinen suojauskäytäntöeditori . Luo verkkotunnuksesi Windows-palvelimella joko uusi GPO tai muokkaa olemassa olevaa ryhmäkäytäntöobjektia.
Siirry asiakas- tai palvelintietokoneessa ryhmäkäytäntöeditorissa seuraavaan polkuun:
|_+_|Siirry asiakas- tai palvelintietokoneessa paikallisessa suojauskäytännössä seuraavaan polkuun:
|_+_|- Kaksoisnapsauta oikeanpuoleisen ruudun Valvontakäytännöt käytäntöä, jonka ominaisuuksia haluat muuttaa.
- Ominaisuudet-paneelissa voit ottaa käytännön käyttöön Onnea tai Hylkääminen vaatimuksesi mukaan.
Lukea : Kuinka palauttaa kaikki paikalliset ryhmäkäytäntöasetukset oletusasetuksiin Windowsissa
Käytä tapahtumien katseluohjelmaa löytääksesi epäonnistuneiden tai onnistuneiden yritysten syyt
Järjestelmänvalvojat ja tavalliset käyttäjät voivat avata Tapahtumavalvontaohjelman paikallisella tai etätietokoneella asianmukaisilla käyttöoikeuksilla. Tapahtumien katseluohjelma kirjaa nyt tapahtuman aina, kun epäonnistuminen tai onnistuminen tapahtuu, olipa kyse sitten asiakastietokoneesta tai palvelimen toimialueesta. Tapahtumatunnus, joka käynnistyy epäonnistuneen tai onnistuneen tapahtuman rekisteröinnin yhteydessä, on eri (katso alla). Tarkastuskäytännöt osio yllä). Voit mennä Tapahtuman katselija > Lehden ikkunat > Turvallisuus . Keskellä oleva paneeli listaa kaikki tapahtumat, jotka on määritetty tarkastettavaksi. Sinun on tarkasteltava kirjattuja tapahtumia löytääksesi epäonnistuneet tai onnistuneet yritykset. Kun löydät ne, voit napsauttaa tapahtumaa hiiren kakkospainikkeella ja valita Tapahtuman ominaisuudet Lisätietoja.
Lukea : Käytä Event Vieweria tarkistaaksesi, onko Windows-tietokonetta käytetty luvattomasti.
Vaihtoehtoja Event Viewerin käytölle
Vaihtoehtona Event Viewerin käytölle on olemassa useita kolmannen osapuolen Event Log Manager -ohjelmistoja, joita voidaan käyttää tapahtumatietojen yhdistämiseen ja korreloimiseen useista eri lähteistä, mukaan lukien pilvipalvelut. SIEM-ratkaisu on paras vaihtoehto, jos haluat kerätä ja analysoida tietoja palomuureista, tunkeutumisenestojärjestelmistä (IPS), laitteista, sovelluksista, kytkimistä, reitittimistä, palvelimista ja muista.
cutepdf-ikkunat 10
Toivottavasti tämä viesti on tarpeeksi informatiivinen!
Nyt lue : Kuinka ottaa suojattu tapahtumaloki käyttöön tai poistaa sen käytöstä Windowsissa
Miksi on tärkeää tarkistaa sekä onnistuneet että epäonnistuneet pääsyyritykset?
On erittäin tärkeää tarkastaa kirjautumistapahtumat, olivatpa ne onnistuneita tai epäonnistuneita, tunnistaa tunkeutumisyritykset, koska käyttäjien kirjautumisten tarkastaminen on ainoa tapa havaita kaikki luvattomat verkkotunnuksen kirjautumisyritykset. Uloskirjautumistapahtumia ei seurata toimialueen ohjauskoneissa. Yhtä tärkeää on myös pitää kirjaa epäonnistuneista tiedostojen käyttöyrityksistä, koska valvontamerkintä luodaan joka kerta, kun käyttäjä yrittää epäonnistua käyttää tiedostojärjestelmäobjektia, jolla on vastaava SACL. Näitä tapahtumia tarvitaan sellaisten tiedostoobjektien toiminnan seuraamiseen, jotka ovat arkaluonteisia tai arvokkaita ja vaativat lisävalvontaa.
Lukea : Vahvista Windowsin kirjautumissalasanakäytäntöä ja tilin lukituskäytäntöä
Kuinka ottaa tarkastusvirhelokit käyttöön Active Directoryssa?
Ota tarkastusvirhelokit käyttöön Active Directoryssa napsauttamalla hiiren kakkospainikkeella tarkistettavaa Active Directory -objektia ja valitsemalla se Ominaisuudet . Valitse Turvallisuus -välilehti ja valitse sitten Pitkälle kehittynyt . Valitse Tarkastaa -välilehti ja valitse sitten Lisätä . Voit tarkastella valvontalokeja Active Directoryssa napsauttamalla Aloittaa > Järjestelmän turvallisuus > Hallintatyökalut > Tapahtuman katselija . Active Directoryssa auditointi on prosessi, jossa kerätään ja analysoidaan AD-objekteja ja ryhmäkäytäntötietoja turvallisuuden parantamiseksi ennakoivasti, uhkien havaitsemiseksi ja niihin reagoimiseksi nopeasti sekä IT-toimintojen pitämiseksi sujuvana.
