セキュリティ監査ポリシーの詳細設定 (Windows 10)

  • [アーティクル]

IT プロフェッショナル向けのこのリファレンスでは、次の情報が提供されます。

  • Windows で使用できる高度な監査ポリシー設定
  • これらの設定で生成される監査イベント。

[セキュリティ設定]\[高度な監査ポリシー構成] のセキュリティ監査ポリシー設定は、次のような正確に定義されたアクティビティを追跡することで、ビジネス関連およびセキュリティ関連の重要なルールに対するorganization監査コンプライアンスを支援します。

  • グループ管理者が、財務情報を含むサーバー上の設定またはデータを変更しました。
  • 定義されたグループ内の従業員が重要なファイルにアクセスしました。
  • 検出されないアクセスに対する検証可能なセーフガードとして、正しいシステム アクセス制御リスト (SACL) が次のいずれかに適用されます。
    • すべてのファイルとフォルダー
    • コンピューターのレジストリ キー
    • ファイル共有。

これらの監査ポリシー設定には、ローカル コンピューターのローカル セキュリティ ポリシー スナップイン (secpol.msc) を使用するか、グループ ポリシーを使用してアクセスできます。

これらの高度な監査ポリシー設定を使用すると、監視する動作のみを選択できます。 次の種類の動作の監査結果を除外できます。

  • それはあなたにほとんどまたはまったく関心がありません
  • 過剰な数のログ エントリが作成されます。

さらに、セキュリティ監査ポリシーはドメイン グループ ポリシー オブジェクトを使用して適用できるため、監査ポリシー設定を変更、テスト、および選択したユーザーとグループに対して比較的簡単に展開できます。 [セキュリティ設定]\[高度な監査ポリシーの構成] の監査ポリシー設定は、次のカテゴリで使用できます。

アカウント ログオン

このカテゴリのポリシー設定を構成すると、ドメイン コントローラーまたはローカルのセキュリティ アカウント マネージャー (SAM) でアカウント データを認証しようとする試みを文書化するのに役立ちます。 ログオンとログオフのポリシー設定とイベントとは異なり、アカウント ログオン設定とイベントは、使用されるアカウント データベースに重点を置きます。 このカテゴリには、次のサブカテゴリが含まれています。

アカウント管理

このカテゴリのセキュリティ監査ポリシー設定を使用して、ユーザーとコンピューターのアカウントとグループの変更を監視できます。 このカテゴリには、次のサブカテゴリが含まれています。

詳細な追跡

セキュリティ ポリシー設定と監査イベントの詳細な追跡は、次の目的で使用できます。

  • そのコンピューター上の個々のアプリケーションとユーザーのアクティビティを監視するには
  • コンピューターの使用方法を理解する。

このカテゴリには、次のサブカテゴリが含まれています。

DS Access

DS Access セキュリティ監査ポリシー設定では、Active Directory Domain Services (AD DS) 内のオブジェクトへのアクセスと変更の試行の詳細な監査証跡が提供されます。 これらの監査イベントは、ドメイン コントローラーでのみログに記録されます。 このカテゴリには、次のサブカテゴリが含まれています。

ログオン/ログオフ

ログオン/ログオフ セキュリティ ポリシー設定と監査イベントを使用すると、コンピューターへのログオン試行を対話形式で、またはネットワーク経由で追跡できます。 これらのイベントは、ユーザー アクティビティを追跡し、ネットワーク リソースに対する潜在的な攻撃を特定するために特に役立ちます。 このカテゴリには、次のサブカテゴリが含まれています。

オブジェクト アクセス

オブジェクト アクセス ポリシー設定と監査イベントを使用すると、ネットワークまたはコンピューター上の特定のオブジェクトまたはオブジェクトの種類へのアクセス試行を追跡できます。 ファイル、ディレクトリ、レジストリ キー、またはその他のオブジェクトへのアクセス試行を監査するには、成功イベントや失敗イベントに対して適切なオブジェクト アクセス監査サブカテゴリを有効にします。 たとえば、ファイル システムのサブカテゴリを有効にしてファイル操作を監査する必要があります。レジストリ のアクセスを監査するには、レジストリ サブカテゴリを有効にする必要があります。

これらの監査ポリシーが外部監査者に有効であることを証明することは、より困難です。 継承されたすべてのオブジェクトに適切な SACL が設定されていることを簡単に確認する方法はありません。 この問題に対処するには、「 グローバル オブジェクト アクセス監査」を参照してください。

このカテゴリには、次のサブカテゴリが含まれています。

ポリシーの変更

ポリシー変更監査イベントを使用すると、ローカル システムまたはネットワーク上の重要なセキュリティ ポリシーの変更を追跡できます。 ポリシーは通常、ネットワーク リソースをセキュリティで保護するために管理者によって確立されるため、これらのポリシーに対する変更 (またはその試行) を追跡することは、ネットワークのセキュリティ管理の重要な側面です。 このカテゴリには、次のサブカテゴリが含まれています。

特権の使用

ネットワークに対するアクセス許可は、ユーザーまたはコンピューターが定義されたタスクを完了するために付与されます。 特権 セキュリティ ポリシー設定と監査イベントを使用すると、1 つ以上のシステムでの特定のアクセス許可の使用を追跡できます。 このカテゴリには、次のサブカテゴリが含まれています。

System

システム セキュリティ ポリシー設定と監査イベントを使用すると、コンピューターに対する次の種類のシステム レベルの変更を追跡できます。

  • 他のカテゴリには含まれません
  • セキュリティに影響を与える可能性があります。

このカテゴリには、次のサブカテゴリが含まれています。

グローバル オブジェクト アクセス監査

グローバル オブジェクト アクセス監査ポリシー設定を使用すると、管理者は、ファイル システムまたはレジストリのオブジェクトの種類ごとにコンピューター システム アクセス制御リスト (SACL) を定義できます。 指定した SACL は、その型のすべてのオブジェクトに自動的に適用されます。 監査者は、システム内のすべてのリソースが監査ポリシーによって保護されていることを証明できます。 このタスクは、グローバル オブジェクト アクセス監査ポリシー設定の内容を表示することで実行できます。 たとえば、監査者に "グループ管理者によって行われたすべての変更を追跡する" というポリシー設定が表示される場合、このポリシーが有効であることがわかっています。

リソース SACL は、診断シナリオにも役立ちます。 たとえば、管理者は、システム内のどのオブジェクトがユーザー アクセスを拒否するかを、次の方法ですばやく識別します。

  • グローバル オブジェクト アクセス監査ポリシーを設定して、特定のユーザーのすべてのアクティビティをログに記録する
  • ファイル システムまたはレジストリの "アクセスが拒否されました" イベントを追跡するためにポリシーを有効にすると、

注

ファイルまたはフォルダー SACL とグローバル オブジェクト アクセス監査ポリシー設定 (または 1 つのレジストリ設定 SACL とグローバル オブジェクト アクセス監査ポリシー設定) がコンピューターで構成されている場合、有効な SACL は、ファイルまたはフォルダー SACL とグローバル オブジェクト アクセス監査ポリシーの組み合わせから派生します。 つまり、アクティビティがファイルまたはフォルダー SACL またはグローバル オブジェクト アクセス監査ポリシーと一致する場合、監査イベントが生成されます。

このカテゴリには、次のサブカテゴリが含まれています。