Catatan
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba masuk atau mengubah direktori.
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba mengubah direktori.
Undang-Undang Nomor Lima: Kewaspadaan abadi adalah harga keamanan. - 10 Hukum Administrasi Keamanan yang Tidak Dapat Diubah
Sistem pemantauan log peristiwa yang solid adalah bagian penting dari desain Active Directory yang aman. Banyak kompromi keamanan komputer dapat ditemukan di awal peristiwa jika target memberlakukan pemantauan dan pemberitahuan log peristiwa yang sesuai. Laporan independen telah lama mendukung kesimpulan ini. Misalnya, Laporan Pelanggaran Data Verizon 2009 menyatakan:
"Ketidakefektifan yang jelas dari pemantauan peristiwa dan analisis log terus menjadi agak enigma. Kesempatan untuk deteksi ada di sana; penyelidik mencatat bahwa 66 persen korban memiliki bukti yang memadai yang tersedia dalam log mereka untuk menemukan pelanggaran seandainya mereka lebih rajin menganalisis sumber daya tersebut."
Kurangnya pemantauan log peristiwa aktif ini tetap menjadi kelemahan yang konsisten dalam rencana pertahanan keamanan banyak perusahaan. Laporan Pelanggaran Data Verizon 2012 menemukan bahwa meskipun 85 persen pelanggaran membutuhkan waktu beberapa minggu untuk diperhatikan, 84 persen korban memiliki bukti pelanggaran dalam log peristiwa mereka.
Kebijakan Audit Windows
Berikut ini adalah tautan ke blog dukungan resmi perusahaan Microsoft. Konten blog ini memberikan saran, panduan, dan rekomendasi tentang audit untuk membantu Anda meningkatkan keamanan infrastruktur Direktori Aktif Anda dan merupakan sumber daya yang berharga saat merancang kebijakan audit.
- Audit Akses Objek Global adalah Magic - Menjelaskan mekanisme kontrol yang disebut Konfigurasi Kebijakan Audit Tingkat Lanjut yang ditambahkan ke Windows 7 dan Windows Server 2008 R2 yang memungkinkan Anda mengatur jenis data apa yang ingin Anda audit dengan mudah tanpa harus mengalihkan skrip dan auditpol.exe.
- Memperkenalkan Perubahan Audit di Windows 2008 - Memperkenalkan perubahan audit yang dilakukan di Windows Server 2008.
- Trik Audit Dingin di Vista dan 2008 - Menjelaskan fitur audit menarik Windows Vista dan Windows Server 2008 yang dapat digunakan untuk memecahkan masalah atau melihat apa yang terjadi di lingkungan Anda.
- One-Stop Shop untuk Audit di Windows Server 2008 dan Windows Vista - Berisi kompilasi fitur audit dan informasi yang terkandung dalam Windows Server 2008 dan Windows Vista.
Tautan berikut ini menyediakan informasi tentang peningkatan audit Windows di Windows 8 dan Windows Server 2012, dan informasi tentang audit AD DS di Windows Server 2008.
- Apa yang Baru dalam Audit Keamanan - Menyediakan gambaran umum fitur audit keamanan baru di Windows 8 dan Windows Server 2012.
- Panduan Langkah demi Langkah Audit AD DS - Menjelaskan fitur audit Active Directory Domain Services (AD DS) baru di Windows Server 2008. Juga menyediakan prosedur untuk menerapkan fitur baru ini.
Kategori Audit Windows
Sebelum Windows Vista dan Windows Server 2008, Windows hanya memiliki sembilan kategori kebijakan audit log peristiwa:
- Peristiwa Masuk Akun
- Account Management
- Akses Layanan Direktori
- Logon Events
- Object Access
- Policy Change
- Privilege Use
- Process Tracking
- System Events
Sembilan kategori audit tradisional ini terdiri dari kebijakan audit. Setiap kategori kebijakan audit dapat diaktifkan untuk peristiwa Keberhasilan, Kegagalan, atau Keberhasilan dan Kegagalan. Deskripsinya disertakan di bagian berikutnya.
Deskripsi Kategori Kebijakan Audit
Kategori kebijakan audit mengaktifkan jenis pesan log peristiwa berikut.
Mengaudit Peristiwa Masuk Akun
Peristiwa Masuk Akun Audit melaporkan setiap instans prinsip keamanan (misalnya, pengguna, komputer, atau akun layanan) yang masuk ke atau keluar dari satu komputer ketika komputer lain digunakan untuk memvalidasi akun. Peristiwa masuk akun dihasilkan ketika akun utama keamanan domain diautentikasi pada pengontrol domain. Autentikasi pengguna lokal di komputer lokal menghasilkan peristiwa masuk yang dicatat di log keamanan lokal. Tidak ada peristiwa logoff akun yang dicatat.
Kategori ini menghasilkan banyak "kebisingan" karena Windows terus-menerus memiliki akun yang masuk ke dan keluar dari komputer lokal dan jarak jauh selama perjalanan bisnis normal. Terlepas dari ketidaknyamanan ini, setiap rencana keamanan harus mencakup keberhasilan dan kegagalan kategori audit ini.
Mengaudit Manajemen Akun
Pengaturan audit ini menentukan apakah akan melacak manajemen pengguna dan grup. Misalnya, pengguna dan grup harus dilacak saat akun pengguna atau komputer, grup keamanan, atau grup distribusi dibuat, diubah, atau dihapus. Pengguna dan grup juga harus dilacak ketika akun pengguna atau komputer diganti namanya, dinonaktifkan, atau diaktifkan, dan ketika kata sandi pengguna atau komputer diubah. Peristiwa dapat dihasilkan untuk pengguna atau grup yang ditambahkan ke atau dihapus dari grup lain.
Mengaudit Akses Layanan Direktori
Pengaturan kebijakan ini menentukan apakah akan mengaudit akses utama keamanan ke objek Direktori Aktif yang memiliki daftar kontrol akses sistem (SACL) yang ditentukan sendiri. Secara umum, kategori ini hanya boleh diaktifkan pada pengendali domain. Pengaturan ini menghasilkan banyak "kebisingan" jika diaktifkan.
Mengaudit Peristiwa Masuk
Peristiwa masuk dihasilkan ketika prinsip keamanan lokal diautentikasi di komputer lokal. Peristiwa Masuk merekam log masuk domain yang terjadi di komputer lokal. Peristiwa logoff akun tidak dihasilkan. Ketika diaktifkan, Peristiwa Masuk menghasilkan banyak "kebisingan", tetapi kebijakan ini tetap harus diaktifkan secara default dalam rencana audit keamanan apa pun.
Mengaudit Akses Objek
Akses Objek dapat menghasilkan peristiwa ketika objek yang ditentukan berikutnya dengan audit diaktifkan diakses (misalnya, Dibuka, Dibaca, Diganti Namanya, Dihapus, atau Ditutup). Setelah kategori audit utama diaktifkan, administrator harus secara individual menentukan objek mana yang akan mengaktifkan audit. Banyak objek sistem Windows dilengkapi dengan pengauditan diaktifkan, jadi mengaktifkan kategori ini biasanya akan mulai menghasilkan peristiwa sebelum administrator menentukan apa pun.
Kategori ini sangat "berisik" dan akan menghasilkan lima hingga 10 peristiwa untuk setiap akses objek. Mungkin sulit bagi administrator baru untuk mengaudit objek untuk mendapatkan informasi yang berguna. Ini hanya boleh diaktifkan saat diperlukan.
Mengaudit Perubahan Kebijakan
Pengaturan kebijakan ini menentukan apakah akan mengaudit setiap insiden perubahan pada kebijakan penetapan hak pengguna, kebijakan Windows Firewall, kebijakan Kepercayaan, atau perubahan pada kebijakan audit. Kategori ini harus diaktifkan pada semua komputer. Ini menghasilkan sedikit "kebisingan."
Penggunaan Hak Istimewa Audit
Ada puluhan hak dan izin pengguna di Windows (misalnya, Masuk sebagai Pekerjaan Batch dan Bertindak sebagai Bagian dari Sistem Operasi). Pengaturan kebijakan ini menentukan apakah akan mengaudit setiap instans perwakilan keamanan dengan menggunakan hak atau hak istimewa pengguna. Mengaktifkan kategori ini menghasilkan banyak "kebisingan", tetapi dapat membantu dalam melacak akun utama keamanan menggunakan hak istimewa yang ditingkatkan.
Pelacakan Proses Audit
Pengaturan kebijakan ini menentukan apakah akan mengaudit informasi pelacakan proses terperinci untuk peristiwa seperti aktivasi program, proses keluar, menangani duplikasi, dan akses objek tidak langsung. Ini berguna untuk melacak pengguna berbahaya dan program yang mereka gunakan.
Enabling Audit Process Tracking generates a large number of events, so typically it's set to No Auditing. Namun, pengaturan ini dapat memberikan manfaat besar selama respons insiden dari log terperinci proses yang dimulai dan waktu diluncurkan. Untuk pengendali domain dan server infrastruktur peran tunggal lainnya, kategori ini dapat diaktifkan dengan aman sepanjang waktu. Server peran tunggal tidak menghasilkan banyak lalu lintas pelacakan proses selama tugas normal mereka. Dengan demikian, mereka dapat diaktifkan untuk mengambil peristiwa yang tidak sah jika terjadi.
Audit Peristiwa Sistem
Peristiwa Sistem hampir merupakan kategori catch-all generik, mendaftarkan berbagai peristiwa yang berdampak pada komputer, keamanan sistemnya, atau log keamanan. Ini termasuk peristiwa untuk pematian dan mulai ulang komputer, kegagalan daya, perubahan waktu sistem, inisialisasi paket autentikasi, penghapusan log audit, masalah peniruan identitas, dan sejumlah peristiwa umum lainnya. Secara umum, mengaktifkan kategori audit ini menghasilkan banyak "kebisingan", tetapi menghasilkan peristiwa yang cukup sangat berguna sehingga sulit untuk tidak mengaktifkannya.
Kebijakan Audit Tingkat Lanjut
Dimulai dengan Windows Vista dan Windows Server 2008, Microsoft meningkatkan cara pemilihan kategori log peristiwa dapat dilakukan dengan membuat subkategori di bawah setiap kategori audit utama. Subkategori memungkinkan audit jauh lebih terperinci daripada yang bisa dilakukan dengan menggunakan kategori utama. Dengan menggunakan subkategori, Anda hanya dapat mengaktifkan bagian dari kategori utama tertentu dan melewati menghasilkan peristiwa yang tidak berguna. Setiap subkataan kebijakan audit dapat diaktifkan untuk peristiwa Keberhasilan, Kegagalan, atau Keberhasilan dan Kegagalan.
Untuk mencantumkan semua subkategori audit yang tersedia, tinjau kontainer Kebijakan Audit Tingkat Lanjut dalam Objek Kebijakan Grup atau ketik perintah berikut pada komputer apa pun yang menjalankan Windows Server 2012, Windows Server 2008 R2, Windows Server 2008, Windows 8, Windows 7, atau Windows Vista:
auditpol /list /subcategory:*
Untuk mendapatkan daftar subkataan audit yang saat ini dikonfigurasi pada komputer yang menjalankan Windows Server 2012, Windows Server 2008 R2, atau Windows 2008, ketik perintah berikut:
auditpol /get /category:*
Cuplikan layar berikut menunjukkan contoh auditpol.exe mencantumkan kebijakan audit saat ini.
Note
Kebijakan Grup tidak selalu secara akurat melaporkan status semua kebijakan audit yang diaktifkan, sedangkan auditpol.exe melakukannya. Lihat Mendapatkan Kebijakan Audit Efektif di Windows 7 dan 2008 R2 untuk detail selengkapnya.
Setiap kategori utama memiliki beberapa subkategori. Di bawah ini adalah daftar kategori, subkatoner dan deskripsi fungsinya.
Mengaudit Deskripsi Subkataan
Subkataan kebijakan audit mengaktifkan jenis pesan log peristiwa berikut:
Account Logon
Credential Validation
Subkategori ini melaporkan hasil pengujian validasi pada info masuk yang dikirimkan untuk permintaan masuk akun pengguna. Peristiwa ini terjadi di komputer yang otoritatif untuk kredensial. Untuk akun domain, pengendali domain bersifat otoritatif; untuk akun lokal komputer lokal bersifat otoritatif.
Di lingkungan domain, sebagian besar peristiwa masuk akun dicatat di log keamanan pengendali domain yang bersifat otoritatif untuk akun domain. Namun, peristiwa ini dapat terjadi pada komputer lain dalam organisasi saat akun lokal digunakan untuk masuk.
Operasi Tiket Layanan Kerberos
Subkataan ini melaporkan peristiwa yang dihasilkan oleh proses permintaan tiket Kerberos pada pengendali domain yang berwenang untuk akun domain.
Layanan Autentikasi Kerberos
Subkataan ini melaporkan peristiwa yang dihasilkan oleh layanan autentikasi Kerberos. Peristiwa ini terjadi di komputer yang otoritatif untuk kredensial.
Peristiwa Masuk Akun Lainnya
Subkategori ini melaporkan peristiwa yang terjadi sebagai respons terhadap kredensial yang dikirimkan untuk permintaan masuk akun pengguna yang tidak terkait dengan validasi kredensial atau tiket Kerberos. Peristiwa ini terjadi di komputer yang otoritatif untuk kredensial. Untuk akun domain, pengendali domain diberi otorisasi, sedangkan untuk akun lokal, komputer lokal diberi otorisasi.
Di lingkungan domain, sebagian besar peristiwa masuk akun dicatat di log keamanan pengendali domain yang berwenang untuk akun domain. Namun, peristiwa ini dapat terjadi pada komputer lain dalam organisasi saat akun lokal digunakan untuk masuk. Contohnya dapat mencakup yang berikut ini:
- Pemutusan sesi Layanan Desktop Jarak Jauh
- Sesi Layanan Desktop Jauh Baru
- Mengunci dan membuka kunci stasiun kerja
- Memanggil pengaman layar
- Menutup pengaman layar
- Deteksi serangan pemutaran ulang Kerberos, di mana permintaan Kerberos dengan informasi identik diterima dua kali
- Akses ke jaringan nirkabel yang diberikan kepada pengguna atau akun komputer
- Akses ke jaringan 802.1x berkabel yang diberikan ke akun pengguna atau komputer
Account Management
Manajemen Akun Pengguna
Subkataan ini melaporkan setiap peristiwa manajemen akun pengguna, seperti:
- Akun pengguna dibuat, diubah, atau dihapus
- Akun pengguna diganti namanya, dinonaktifkan, atau diaktifkan
- Set kata sandi atau diubah
Jika pengaturan kebijakan audit ini diaktifkan, administrator dapat melacak peristiwa untuk mendeteksi pembuatan akun pengguna yang berbahaya, tidak disengaja, dan sah.
Manajemen Akun Komputer
Subkataan ini melaporkan setiap peristiwa manajemen akun komputer, seperti ketika akun komputer dibuat, diubah, dihapus, diganti namanya, dinonaktifkan, atau diaktifkan.
Manajemen Grup Keamanan
Subkategorang ini melaporkan setiap peristiwa manajemen grup keamanan, seperti ketika grup keamanan dibuat, diubah, atau dihapus atau ketika anggota ditambahkan ke atau dihapus dari grup keamanan. Jika pengaturan kebijakan audit ini diaktifkan, administrator dapat melacak peristiwa untuk mendeteksi pembuatan akun grup keamanan berbahaya, tidak disengaja, dan sah.
Manajemen Grup Distribusi
Subkategorang ini melaporkan setiap peristiwa manajemen grup distribusi, seperti saat grup distribusi dibuat, diubah, atau dihapus atau saat anggota ditambahkan ke atau dihapus dari grup distribusi. Jika pengaturan kebijakan audit ini diaktifkan, administrator dapat melacak peristiwa untuk mendeteksi pembuatan akun grup yang berbahaya, tidak disengaja, dan sah.
Manajemen Grup Aplikasi
Subkategorang ini melaporkan setiap peristiwa manajemen grup aplikasi di komputer, seperti ketika grup aplikasi dibuat, diubah, atau dihapus atau ketika anggota ditambahkan ke atau dihapus dari grup aplikasi. Jika pengaturan kebijakan audit ini diaktifkan, administrator dapat melacak peristiwa untuk mendeteksi pembuatan akun grup aplikasi yang berbahaya, tidak disengaja, dan sah.
Peristiwa Manajemen Akun Lainnya
Subkataan ini melaporkan peristiwa manajemen akun lainnya.
Pelacakan Proses Terperinci
Pemantauan Pelacakan Proses Terperinci mencakup pembuatan dan penghentian proses.
Process Creation
Subkataan ini melaporkan pembuatan proses dan nama pengguna atau program yang membuatnya.
Process Termination
Subkataan ini melaporkan ketika proses berakhir.
DPAPI Activity
Subkataan ini melaporkan mengenkripsi atau mendekripsi panggilan ke antarmuka pemrograman aplikasi perlindungan data (DPAPI). DPAPI digunakan untuk melindungi informasi rahasia seperti kata sandi tersimpan dan informasi utama.
RPC Events
Subkataan ini melaporkan peristiwa koneksi panggilan prosedur jarak jauh (RPC).
Akses Layanan Direktori
Akses Layanan Direktori
Subkataan ini melaporkan ketika objek AD DS diakses. Hanya objek dengan SACL yang dikonfigurasi yang menyebabkan peristiwa audit dihasilkan, dan hanya ketika diakses dengan cara yang cocok dengan entri SACL. Peristiwa ini mirip dengan peristiwa akses layanan direktori di versi Windows Server sebelumnya. Subkataan ini hanya berlaku untuk pengontrol domain.
Perubahan Layanan Direktori
Subkataan ini melaporkan perubahan pada objek di AD DS. Jenis perubahan yang dilaporkan adalah membuat, memodifikasi, memindahkan, dan membatalkan penghapusan operasi yang dilakukan pada objek. Audit perubahan layanan direktori, jika sesuai, menunjukkan nilai lama dan baru dari properti yang diubah dari objek yang diubah. Hanya objek dengan SACL yang menyebabkan peristiwa audit dihasilkan, dan hanya ketika diakses dengan cara yang cocok dengan entri SACL mereka. Beberapa objek dan properti tidak menyebabkan peristiwa audit dihasilkan karena pengaturan pada kelas objek dalam skema. Subkataan ini hanya berlaku untuk pengontrol domain.
Replikasi Layanan Direktori
Subkataan ini melaporkan ketika replikasi antara dua pengontrol domain dimulai dan berakhir.
Replikasi Layanan Direktori Terperinci
Subkataan ini melaporkan informasi terperinci tentang informasi yang direplikasi antar pengontrol domain. Peristiwa ini bisa sangat tinggi volumenya.
Logon/Logoff
Logon
Subkategori ini melaporkan saat pengguna mencoba masuk ke sistem. Peristiwa ini terjadi pada komputer yang diakses. Untuk logon interaktif, pembuatan peristiwa ini terjadi di komputer tempat pengguna masuk. Jika masuk jaringan terjadi guna mengakses berbagi, peristiwa ini muncul di komputer yang menghosting sumber daya yang diakses. If this setting is configured to No auditing, it's difficult or impossible to determine which user has accessed or attempted to access organization computers.
Server Kebijakan Jaringan
Subkataan ini melaporkan peristiwa yang dihasilkan oleh permintaan akses pengguna RADIUS (IAS) dan Network Access Protection (NAP). These requests can be Grant, Deny, Discard, Quarantine, Lock, and Unlock. Mengaudit pengaturan ini akan menghasilkan rekaman dalam volume sedang atau tinggi pada server NPS dan IAS.
Mode Utama IPsec
Subkataan ini melaporkan hasil protokol Internet Key Exchange (IKE) dan Protokol Internet Terautentikasi (AuthIP) selama negosiasi Mode Utama.
Mode Diperluas IPsec
Subkataan ini melaporkan hasil AuthIP selama negosiasi Mode Diperpanjang.
Peristiwa Masuk/Keluar Lainnya
Subkataan ini melaporkan peristiwa terkait log masuk dan keluar lainnya, seperti sesi Layanan Desktop Jauh terputus dan terhubung kembali, menggunakan RunAs untuk menjalankan proses di bawah akun yang berbeda, dan mengunci dan membuka kunci stasiun kerja.
Logoff
Subkataan ini melaporkan ketika pengguna keluar dari sistem. Peristiwa ini terjadi pada komputer yang diakses. Untuk logon interaktif, pembuatan peristiwa ini terjadi di komputer tempat pengguna masuk. Jika masuk jaringan terjadi guna mengakses berbagi, peristiwa ini muncul di komputer yang menghosting sumber daya yang diakses. If this setting is configured to No auditing, it's difficult or impossible to determine which user has accessed or attempted to access organization computers.
Account Lockout
Subkataan ini melaporkan ketika akun pengguna dikunci sebagai akibat dari terlalu banyak upaya masuk yang gagal.
Mode Cepat IPsec
Subkataan ini melaporkan hasil protokol IKE dan AuthIP selama negosiasi Mode Cepat.
Special Logon
Subkataan ini melaporkan ketika log masuk khusus digunakan. Log masuk khusus adalah log masuk yang memiliki hak istimewa setara administrator dan dapat digunakan untuk meningkatkan proses ke tingkat yang lebih tinggi.
Policy Change
Perubahan Azure Policy Audit
Subkataan ini melaporkan perubahan kebijakan audit termasuk perubahan SACL.
Perubahan Kebijakan Autentikasi
Subkataan ini melaporkan perubahan dalam kebijakan autentikasi.
Perubahan Kebijakan Otorisasi
Subkataan ini melaporkan perubahan kebijakan otorisasi termasuk perubahan izin (DACL).
Perubahan Kebijakan Tingkat Aturan MPSSVC
Subkataan ini melaporkan perubahan aturan kebijakan yang digunakan oleh Microsoft Protection Service (MPSSVC.exe). Layanan ini digunakan oleh Windows Firewall.
Pemfilteran Perubahan Kebijakan Platform
Subkataan ini melaporkan penambahan dan penghapusan objek dari WFP, termasuk filter startup. Peristiwa ini bisa sangat tinggi volumenya.
Kejadian Perubahan Kebijakan Lainnya
Subkataan ini melaporkan jenis perubahan kebijakan keamanan lainnya seperti konfigurasi Modul Platform Tepercaya (TPM) atau penyedia kriptografi.
Privilege Use
Hak Istimewa Penggunaan mencakup hak istimewa sensitif dan tidak sensitif.
Penggunaan Hak Istimewa Sensitif
Subkataan ini melaporkan ketika akun pengguna atau layanan menggunakan hak istimewa sensitif. Hak istimewa sensitif mencakup hak pengguna berikut:
- Bertindak sebagai bagian dari sistem operasi
- untuk file dan direktori
- Membuat objek token, program debug
- Mengaktifkan komputer dan akun pengguna agar dipercayai untuk delegasi
- Membuat audit keamanan, meniru klien setelah autentikasi
- Memuat dan membongkar driver perangkat
- Mengelola audit dan log keamanan
- Mengubah nilai lingkungan firmware
- Mengganti token tingkat proses, memulihkan file dan direktori
- Ambil kepemilikan file atau objek lainnya.
Mengaudit subkategori ini akan menciptakan kejadian dalam volume tinggi.
Penggunaan Hak Istimewa Nonsensitif
Subkataan ini melaporkan ketika akun pengguna atau layanan menggunakan hak istimewa yang tidak sensitif. Hak istimewa yang tidak sensitif mencakup hak pengguna berikut:
- Mengakses Pengelola Info Masuk sebagai penelepon tepercaya
- Akses komputer ini dari jaringan
- Menambahkan stasiun kerja ke domain
- Sesuaikan kuota memori untuk sebuah proses
- Perbolehkan masuk secara lokal
- Perbolehkan masuk melalui Layanan Desktop Jarak Jauh
- Lalui pemeriksaan transversal
- Mengubah waktu sistem
- Membuat pagefile
- Membuat objek global
- Membuat objek bersama permanen
- Membuat tautan simbolik
- Tolak akses komputer ini dari jaringan
- Tolak masuk sebagai pekerjaan batch
- Menolak masuk sebagai layanan
- Tolak masuk secara lokal
- Tolak masuk melalui Layanan Desktop Jarak Jauh
- Mematikan paksa dari sistem jarak jauh
- Meningkatkan kumpulan kerja proses
- Meningkatkan prioritas penjadwalan
- Mengunci halaman dalam memori
- Masuk sebagai tugas batch
- Masuk sebagai layanan
- Mengubah label objek
- Melakukan tugas pemeliharaan volume
- Proses tunggal profil
- Melihat Performa Sistem
- Menghapus komputer dari stasiun dok
- Matikan sistem
- Menyinkronkan data layanan direktori.
Mengaudit subkataan ini akan menciptakan volume peristiwa yang sangat tinggi.
Kejadian Penggunaan Hak Istimewa Lainnya
Pengaturan kebijakan keamanan ini saat ini tidak digunakan.
Object Access
Kategori Akses Objek mencakup subkategori Sistem File dan Registri.
File System
Subkataan ini melaporkan kapan objek sistem file diakses. Hanya objek sistem file dengan SACL yang menyebabkan peristiwa audit dihasilkan, dan hanya ketika diakses dengan cara yang cocok dengan entri SACL mereka. Dengan sendirinya, pengaturan kebijakan ini tidak akan menyebabkan audit peristiwa apa pun. Ini menentukan apakah akan mengaudit peristiwa pengguna yang mengakses objek sistem file yang memiliki daftar kontrol akses sistem (SACL) tertentu, yang secara efektif memungkinkan audit terjadi.
If the audit object access setting is configured to Success, an audit entry is generated each time that a user successfully accesses an object with a specified SACL. If this policy setting is configured to Failure, an audit entry is generated each time that a user fails in an attempt to access an object with a specified SACL.
Registry
Subkategori ini melaporkan ketika objek registri diakses. Hanya objek registri dengan SACL yang menyebabkan peristiwa audit dihasilkan, dan hanya ketika mereka diakses dengan cara yang cocok dengan entri SACL mereka. Dengan sendirinya, pengaturan kebijakan ini tidak akan menyebabkan audit peristiwa apa pun.
Kernel Object
Subkataan ini melaporkan ketika objek kernel seperti proses dan mutex diakses. Hanya objek kernel dengan SACL yang menyebabkan peristiwa audit dihasilkan, dan hanya ketika diakses dengan cara yang cocok dengan entri SACL mereka. Biasanya objek kernel hanya diberikan SACL jika opsi audit AuditBaseObjects atau AuditBaseDirectories diaktifkan.
SAM
Subkataan ini melaporkan ketika objek database autentikasi Security Accounts Manager (SAM) lokal diakses.
Certification Services
Subkataan ini melaporkan ketika operasi Layanan Sertifikasi dilakukan.
Application Generated
Subkataan ini melaporkan ketika aplikasi mencoba menghasilkan peristiwa audit dengan menggunakan antarmuka pemrograman aplikasi (API) audit Windows.
Handle Manipulation
Subkataan ini melaporkan ketika handel ke objek dibuka atau ditutup. Hanya objek dengan SACL yang menyebabkan peristiwa ini dihasilkan, dan hanya jika operasi penanganan yang dicoba cocok dengan entri SACL. Menangani peristiwa Manipulasi hanya dihasilkan untuk jenis objek tempat subkategori akses objek yang sesuai diaktifkan (misalnya, sistem file atau registri).
File Share
Subkataan ini melaporkan ketika berbagi file diakses. Dengan sendirinya, pengaturan kebijakan ini tidak akan menyebabkan audit peristiwa apa pun. Ini menentukan apakah akan mengaudit peristiwa pengguna yang mengakses objek berbagi file yang memiliki daftar kontrol akses sistem (SACL) tertentu, yang secara efektif memungkinkan audit terjadi.
Pemfilteran Platform Packet Drop
Subkataan ini melaporkan ketika paket dihilangkan oleh Windows Filtering Platform (WFP). Peristiwa ini bisa sangat tinggi volumenya.
Memfilter Koneksi Platform
Subkataan ini melaporkan kapan koneksi diizinkan atau diblokir oleh WFP. Peristiwa ini bisa tinggi volumenya.
Peristiwa Akses Objek Lainnya
Subkataan ini melaporkan peristiwa terkait akses objek lainnya seperti pekerjaan Task Scheduler dan objek COM+.
System
Perubahan Status Keamanan
Subkataan ini melaporkan perubahan status keamanan sistem, seperti ketika subsistem keamanan dimulai dan berhenti.
Ekstensi Sistem Keamanan
Subkataan ini melaporkan pemuatan kode ekstensi seperti paket autentikasi oleh subsistem keamanan.
System Integrity
Subkataan ini melaporkan pelanggaran integritas subsistem keamanan.
IPsec Driver
Subkataan ini melaporkan aktivitas driver keamanan Protokol Internet (IPsec).
Kejadian Sistem Lainnya
Subkataan ini melaporkan peristiwa sistem lainnya.
Untuk informasi selengkapnya tentang deskripsi subkataan, lihat alat Microsoft Security Compliance Manager.
Setiap organisasi harus meninjau kategori dan subkatoner yang tercakup sebelumnya dan memungkinkan yang paling sesuai dengan lingkungan mereka. Perubahan pada kebijakan audit harus selalu diuji sebelum penyebaran di lingkungan produksi.
Mengonfigurasi Kebijakan Audit Windows
Kebijakan audit Windows dapat diatur menggunakan kebijakan grup, auditpol.exe, API, atau pengeditan registri. Metode yang direkomendasikan untuk mengonfigurasi kebijakan audit untuk sebagian besar perusahaan adalah Kebijakan Grup atau auditpol.exe. Mengatur kebijakan audit sistem memerlukan izin akun tingkat administrator atau izin yang didelegasikan yang sesuai.
Note
Hak istimewa Kelola audit dan log keamanan harus diberikan kepada prinsip keamanan (Administrator memilikinya secara default) untuk memungkinkan modifikasi opsi audit akses objek sumber daya individual, seperti file, objek Direktori Aktif, dan kunci registri.
Mengatur Kebijakan Audit Windows dengan Menggunakan Kebijakan Grup
Untuk mengatur kebijakan audit menggunakan kebijakan grup, konfigurasikan kategori audit yang sesuai yang terletak di bawah Konfigurasi Komputer\Pengaturan Windows\Pengaturan Keamanan\Kebijakan Lokal\Kebijakan Audit (lihat cuplikan layar berikut untuk contoh dari Editor Kebijakan Grup Lokal (gpedit.msc)). Each audit policy category can be enabled for Success, Failure, or Success and Failure events.
Kebijakan Audit Tingkat Lanjut dapat diatur dengan menggunakan Direktori Aktif atau kebijakan grup lokal. Untuk mengatur Kebijakan Audit Tingkat Lanjut, konfigurasikan subkataan yang sesuai yang terletak di bawah Konfigurasi Komputer\Pengaturan Windows\Pengaturan Keamanan\Kebijakan Audit Tingkat Lanjut (lihat cuplikan layar berikut untuk contoh dari Editor Kebijakan Grup Lokal (gpedit.msc)). Each audit policy subcategory can be enabled for Success, Failure, or Success and Failure events.
Mengatur Kebijakan Audit Windows Menggunakan Auditpol.exe
Auditpol.exe (untuk mengatur kebijakan audit Windows) diperkenalkan di Windows Server 2008 dan Windows Vista. Awalnya, hanya auditpol.exe yang dapat digunakan untuk mengatur Kebijakan Audit Tingkat Lanjut, tetapi Kebijakan Grup dapat digunakan di Windows Server 2012, Windows Server 2008 R2, atau Windows Server 2008, Windows 8, dan Windows 7.
Auditpol.exe adalah utilitas baris perintah. Sintaksisnya adalah sebagai berikut:
auditpol /set /<Category|Subcategory>:<audit category> /<success|failure:> /<enable|disable>
contoh sintaks Auditpol.exe:
auditpol /set /subcategory:"user account management" /success:enable /failure:enable
auditpol /set /subcategory:"logon" /success:enable /failure:enable
auditpol /set /subcategory:"IPSEC Main Mode" /failure:enable
Note
Auditpol.exe menetapkan Kebijakan Audit Tingkat Lanjut secara lokal. Jika kebijakan lokal bertentangan dengan Direktori Aktif atau Kebijakan Grup lokal, pengaturan Kebijakan Grup biasanya berlaku atas pengaturan auditpol.exe. Ketika beberapa grup atau konflik kebijakan lokal ada, hanya satu kebijakan yang akan berlaku (yaitu, ganti). Kebijakan audit tidak akan digabungkan.
Scripting Auditpol
Microsoft provides a sample script for administrators who want to set Advanced Audit Policy by using a script instead of manually typing in each auditpol.exe command.
Note Group Policy does not always accurately report the status of all enabled auditing policies, whereas auditpol.exe does. Lihat Mendapatkan Kebijakan Audit Efektif di Windows 7 dan Windows 2008 R2 untuk detail selengkapnya.
Perintah Auditpol Lainnya
Auditpol.exe dapat digunakan untuk menyimpan dan memulihkan kebijakan audit lokal, dan untuk melihat perintah terkait audit lainnya. Here are the other auditpol commands.
auditpol /clear
- Digunakan untuk menghapus dan mengatur ulang kebijakan audit lokal
auditpol /backup /file:<filename>
- Digunakan untuk mencadangkan kebijakan audit lokal saat ini ke file biner
auditpol /restore /file:<filename>
- Digunakan untuk mengimpor file kebijakan audit yang disimpan sebelumnya ke kebijakan audit lokal
auditpol /<get/set> /option:<CrashOnAuditFail> /<enable/disable>
- Jika pengaturan kebijakan audit ini diaktifkan, hal ini menyebabkan sistem segera berhenti (dengan pesan STOP: C0000244 {Audit Failed}) jika audit keamanan tidak dapat dicatat karena alasan apa pun. Biasanya, peristiwa gagal dicatat ketika log audit keamanan penuh dan metode retensi yang ditentukan untuk log keamanan adalah Jangan Timpa Peristiwa atau Timpa Peristiwa berdasarkan Hari. Biasanya kebijakan ini hanya diaktifkan di lingkungan yang membutuhkan jaminan lebih tinggi bahwa log keamanan adalah pengelogan. Jika diaktifkan, administrator harus mengawasi ukuran log keamanan dengan cermat dan memutar log sesuai kebutuhan. Ini juga dapat diatur dengan Kebijakan Grup dengan memodifikasi opsi keamanan Audit: Matikan sistem segera jika tidak dapat mencatat audit keamanan (default=disabled).
auditpol /<get/set> /option:<AuditBaseObjects> /<enable/disable>
- Pengaturan kebijakan audit ini menentukan apakah akan mengaudit akses objek sistem global. Jika kebijakan ini diaktifkan, kebijakan ini menyebabkan objek sistem, seperti mutex, peristiwa, semaphores, dan perangkat DOS dibuat dengan daftar kontrol akses sistem default (SACL). Sebagian besar administrator mempertimbangkan untuk mengaudit objek sistem global terlalu "berisik", dan mereka hanya akan mengaktifkannya jika peretasan berbahaya dicurigai. Hanya objek bernama yang diberi SACL. Jika kebijakan audit akses objek audit (atau subkataan audit Objek Kernel) juga diaktifkan, akses ke objek sistem ini diaudit. Ketika mengonfigurasi pengaturan keamanan ini, perubahan tidak akan berlaku hingga Anda memulai ulang Windows. Kebijakan ini juga dapat diatur dengan Kebijakan Grup dengan memodifikasi opsi keamanan Mengaudit akses objek sistem global (default=disabled).
auditpol /<get/set> /option:<AuditBaseDirectories> /<enable/disable>
- Pengaturan kebijakan audit ini menentukan bahwa objek kernel bernama (seperti mutex dan semaphores) akan diberikan SACL saat dibuat. AuditBaseDirectories memengaruhi objek kontainer sementara AuditBaseObjects memengaruhi objek yang tidak dapat berisi objek lain.
auditpol /<get/set> /option:<FullPrivilegeAuditing> /<enable/disable>
- Pengaturan kebijakan audit ini menentukan apakah klien menghasilkan peristiwa ketika satu atau beberapa hak istimewa berikut ditetapkan ke token keamanan pengguna:
- AssignPrimaryTokenPrivilege
- AuditPrivilege
- BackupPrivilege
- CreateTokenPrivilege
- DebugPrivilege
- EnableDelegationPrivilege
- ImpersonatePrivilege
- LoadDriverPrivilege
- RestorePrivilege
- SecurityPrivilege
- SystemEnvironmentPrivilege
- TakeOwnershipPrivilege
- TcbPrivilege.
Jika opsi ini tidak diaktifkan (default=Disabled), hak istimewa BackupPrivilege dan RestorePrivilege tidak direkam. Mengaktifkan opsi ini dapat membuat log keamanan sangat berisik (kadang-kadang ratusan peristiwa per detik) selama operasi pencadangan. Kebijakan ini juga dapat diatur dengan Kebijakan Grup dengan memodifikasi opsi keamanan Audit: Mengaudit penggunaan hak istimewa Pencadangan dan Pemulihan.
Note
Beberapa informasi yang disediakan di sini diambil dari Jenis Opsi Audit Microsoft dan alat Microsoft SCM.
Memberlakukan Audit Tradisional atau Audit Tingkat Lanjut
Di Windows Server 2012, Windows Server 2008 R2, Windows Server 2008, Windows 8, Windows 7, dan Windows Vista, administrator dapat memilih untuk mengaktifkan sembilan kategori tradisional atau untuk menggunakan subkatoner. Ini adalah pilihan biner yang harus dibuat di setiap sistem Windows. Kategori utama dapat diaktifkan atau subkataan; Tidak mungkin keduanya.
Untuk mencegah kebijakan kategori tradisional warisan menimpa subkategori kebijakan audit, Anda harus mengaktifkan pengaturan subkategori kebijakan audit Paksa (Windows Vista atau yang lebih baru) untuk menimpa pengaturan kebijakan kategori kebijakan audit yang terletak di bawah Konfigurasi Komputer\Pengaturan Windows\Pengaturan Keamanan\Kebijakan Lokal\Opsi Keamanan.
Kami menyarankan agar subkataan diaktifkan dan dikonfigurasi alih-alih sembilan kategori utama. Ini mengharuskan pengaturan Kebijakan Grup diaktifkan (untuk memungkinkan subkataan mengambil alih kategori audit) bersama dengan mengonfigurasi subkataan yang berbeda yang mendukung kebijakan audit.
Mengaudit subkataan dapat dikonfigurasi dengan menggunakan beberapa metode, termasuk Kebijakan Grup dan program baris perintah, auditpol.exe.