Polityki kontroli w Windows Server 2008

Autor: Paweł Pławiak

Opublikowano: 22 lutego 2008

Zawartość strony

	Wprowadzenie
	Polityki kontroli w Windows Server
	Polityki kontroli górnego poziomu
	Polityki kontroli drugiego poziomu
	Zarządzanie politykami kontroli dostępu
	Zestawienie polityk kontroli dostępu
	Podsumowanie

Wprowadzenie

Prawidłowe administrowanie systemem Windows Server nie jest możliwe bez systematycznego zbierania i analizowania zdarzeń wymuszanych przez zainstalowane role i funkcje.

W środowisku Windows Server 2008 zaszły zmiany w zakresie bardzo popularnych polityk, pozwalających na kontrolowanie użycia uprawnień systemowych list kontroli dostępu SACL (z ang. System Access Control Lists).

Polityki kontroli (ang. Audit Policy) są znane już od wcześniejszych wersji Windows Server i bez wątpienia wielu inżynierów oraz administratorów je wykorzystuje.

W poniższym artykule zaprezentowany został wykaz polityk oraz nowe funkcjonalności, które w tym zakresie pojawiły się w Windows Server 2008.

 Do początku strony

Polityki kontroli w Windows Server

Bezpieczeństwo infrastruktury IT jest traktowane priorytetowo. W celu podniesienia ogólnego poziomu ochrony stosowane są różne rozwiązania.

W ogromnej puli możliwości nie bez znaczenia wyróżnia się mechanizm polityk kontroli. Cel jego stosowania jest bardzo jasny – dostarcza informacji o czynnościach wykonywanych w systemie, na których niejednokrotnie najbardziej nam zależy.

Błędnie zakończone logowanie, dostęp do ważnych plików, modyfikacja ustawień obiektów usługi Active Directory, w końcu zmiana polityki uwierzytelniania klientów, te i inne informacje są bezsprzecznie pożądane i pozwalają na prawidłowe prowadzenie polityki prewencyjnej.

Wykorzystanie polityk kontroli nie jest rozwiązaniem tylko dla ekspertów, każdy jest w stanie się nimi wspomagać, nawet w środowiskach komputerów domowych. Rozpoczynając przygodę z politykami kontroli kłopotliwe może być zdobycie umiejętności odnajdywania informacji, na których nam w danej chwili zależy. Gwarantuję jednak, że bardzo szybko przychodzi moment, kiedy nabiera się wprawy i bez zastosowania polityk kontroli nie wyobrażamy sobie naszej infrastruktury IT, małej i dużej.

 Do początku strony

Polityki kontroli górnego poziomu

Polityki kontroli w Windows Server 2008 są skategoryzowane na dwóch poziomach. Wprowadzenie stopniowania ma na celu umożliwienie dokładniejszego pozyskiwania interesujących nas zdarzeń.

Pierwszy poziom – kategoria górnego poziomu (ang. top level category) – to odpowiedniki znanych z wcześniejszych wersji Windows kategorii polityk kontroli. Należą do nich:

• Audit system events,
• Audit logon events,
• Audit object access,
• Audit privilege use,
• Audit process tracking,
• Audit policy change,
• Audit account management,
• Audit directory service access,
• Audit account logon events.

Rys. 1. Polityki kontroli górnego poziomu.

 Do początku strony

Polityki kontroli drugiego poziomu

Drugi poziom – podkategoria (ang. subcategory) – stanowiący nowość serwera opatrzonego liczbą 2008, pozwala na dokładne określenie rodzaju rejestrowanych zdarzeń.

Wiele osób borykało się z ogromną ilością zdarzeń, ich kłopotliwą analizą, problemem zapewnienia dostatecznego wolnego miejsca oraz spadkiem wydajności serwerów. Podkategorie pozwalają na znaczne wyeliminowanie tych problemów.

W sumie wyróżniamy 52 podkategorie w ramach dziewięciu kategorii górnego poziomu. Poniżej przedstawiam poszczególne podkategorie oraz skojarzone z nimi zdarzenia.

• Security State Change – zmiany związane ze stanem systemu.
• Security System Extension – zdarzenia związane z aktywnością w zakresie rozszerzeń zabezpieczania systemu.
• System Integrity – zdarzenia związane z naruszeniami integralności systemu.
• IPsec Driver – operacje związane z funkcjonowaniem usługi systemowej IPSec.
• Other System Events – aktywność usługi Windows Firewall oraz sterownika Windows Firewall.
• Logon – próby logowania do komputera bez względu na rodzaj konta (lokalne/domenowe).
• Logoff – próby dostępu do komputera niezależnie od rodzaju logowania lub konta.
• Account Lockout – zdarzenia związane z blokowaniem kont.
• IPsec Main Mode – zdarzenia trybu pełnego IPSec.
• IPsec Quick Mode – zdarzenia trybu szybkiego IPSec.
• IPsec Extended Mode – zdarzenia trybu rozszerzonego IPSec.
• Special Logon – przyznawanie przywilejów specjalnych.
• Other Logon/Logoff Events – zdarzenia związane z logowaniem i wylogowaniem użytkowników w powiązaniu z wygaszaczem ekranu, blokowaniem i odblokowaniem konsoli oraz połączeniami pulpitu zdalnego.
• Network Policy Server – zdarzenia związane z funkcjonowaniem Network Policy Server.
• File System – wszystkie próby dostępu do plików i folderów.
• Registry – zdarzenia związane z dostępem do kluczy i wartości rejestru systemowego.
• Kernel Object – zdarzenia związane z aktywnością w zakresie dostępu do obiektu jądra.
• SAM – zdarzenia dotyczące dostępu do obiektów w bazie SAM (ang. Security Account Manager).
• Certification Services – zdarzenia związane z funkcjonowaniem usług certyfikatów oraz zagadnieniami infrastruktury kluczy publicznych.
• Application Generated – zdarzenia związane z aktywnością aplikacji oraz jej działaniem w kontekście użytkownika.
• Handle Manipulation – zdarzenia odpowiedzialne za powtórzenie wcześniejszego przyznania dostępu.
• File Share – zdarzenia związane z dostępem do zasobów sieciowych.
• Filtering Platform Packet Drop – zdarzenia związane z blokowaniem pakietów przez Windows Filtering Platform.
• Filtering Platform Connection – zdarzenia związane z zezwalaniem i blokowaniem połączeń przez Windows Filtering Platform.
• Other Object Access Events – zdarzenia związane z pozostałymi sytuacjami dostępu do obiektów, na przykład tworzenie, kasowanie, włączanie, wyłączanie zaplanowanych zadań.
• Sensitive Privilege Use – zdarzenia związane z użyciem przywilejów dających dostęp do ważnych i krytycznych elementów systemu.
• Non Sensitive Privilege Use – zdarzenia związane z użyciem uprawnień nie dających dostępu do ważnych i krytycznych elementów systemu.
• Other Privilege Use Events – pozostałe zdarzenia związane z użyciem przywilejów.
• Process Creation – zdarzenia związane z tworzeniem procesów w trakcie uruchomiania programów na komputerach lokalnych.
• Process Termination – zdarzenia pozwalające na śledzenie zakończonych procesów, które były wyzwalane przez uruchamiane programy na komputerach lokalnych.
• DPAPI Activity – zdarzenia związane z ochroną danych API (Data Protection API). DPAPI pomaga zabezpieczać prywatne klucze, zapamiętane poświadczenia (od Windows XP) oraz inne tajne informacje, które powinny utrzymywać taki status.
• RPC Events – zdarzenia powiązane z zabezpieczeniami procedur zdalnego wywołania RPC.
• Audit Policy Change – zdarzenia związane ze zmianami polityk kontroli.
• Authentication Policy Change – zdarzenia związane ze zmianami w zakresie polityk uwierzytelniania użytkowników.
• Authorization Policy Change – zdarzenia związane ze zmianami w zakresie polityk autoryzacji użytkowników.
• MPSSVC Rule-Level Policy Change – zdarzenia związane ze zmianami w zakresie polityk reguł Windows Firewall.
• Filtering Platform Policy Change – zdarzenia związane ze zmianami w zakresie polityk funkcjonowania Windows Filtering Platform.
• Other Policy Change Events – zdarzenia związane ze zmianami w zakresie polityk.
• User Account Management – zdarzenia związane ze śledzeniem zmian w kontach lokalnych na stacjach roboczych i serwerach członkowskich oraz kontach użytkowników domenowych Active Directory.
• Computer Account Management – zdarzenia związane z tworzeniem, zmianami oraz kasowaniem kont komputerów na kontrolerach domen.
• Security Group Management – zdarzenia związane z aktywnością w zakresie zarządzania grupami zabezpieczeń w środowisku domenowym i środowisku komputerów lokalnych.
• Distribution Group Management – zdarzenia związane z aktywnością w zakresie zarządzania grupami dystrybucyjnymi w środowisku domenowym.
• Application Group Management – zdarzenia związane zarządzaniem grupami aplikacji.
• Other Account Management Events – pozostałe zdarzenia związane z zarządzaniem kontami.
• Directory Service Access – zdarzenia związane ze śledzeniem prób dostępu do obiektów Active Directory. Zdarzenia są rejestrowane wyłącznie na kontrolerach domeny.
• Directory Service Changes – zdarzenia związane ze zmianami właściwości obiektów. Zdarzenia obejmują wszystkie informacje pozwalające zidentyfikować jaki obiekt, jaką właściwość, jaki użytkownik oraz na jaką wartość zmodyfikował.
• Directory Service Replication – zdarzenia związane z replikacją usługi katalogowej.
• Detailed Directory Service Replication – szczegółowe zdarzenia związane z replikacją usługi katalogowej.
• Kerberos Service Ticket Operations – zdarzenia związane z czynnościami w zakresie obsługi biletów usługi Kerberos.
• Credential Validation – zdarzenia związane z aktualizowaniem poświadczeń dla kont.
• Kerberos Authentication Service – zdarzenia związane z funkcjonowaniem usługi uwierzytelniania Kerberos.
• Other Account Logon Events – zdarzenia logowania na kontach, na przykład błędną aktualizacją poświadczeń przez kontroler domeny.

 Do początku strony

Zarządzanie politykami kontroli dostępu

Modyfikację polityk kontroli przeprowadzamy za pomocą narzędzi, które są dostępne w trybie graficznym oraz w trybie tekstowym. Należy zwrócić uwagę, że ustawienia na poziomie podkategorii możemy wykonywać wyłącznie w trybie tekstowym.

Wersja okienkowa to nic innego jak znany powszechnie Edytor polityk dostępny chociażby z poziomu popularnej konsoli GPMC. Konfigurując każdą z dziewięciu polityk, mamy do wyboru dwie opcje:

• Success - zdarzenia w ramach kategorii, które zakończyły się pomyślnie.
• Failure - zdarzenia w ramach kategorii, które zakończyły się niepowodzeniem.

Rys. 2. Edytor polityk.

Osoby korzystające z wiersza poleceń mają do dyspozycji narzędzie auditpol z dużą liczbą przełączników, co bezpośrednio przekłada się na możliwości konfiguracji. Auditpol posiada bardzo dobrze przygotowaną pomoc systemową z szeregiem przykładów. Nikt nie powinien więc mieć kłopotów w korzystaniu z narzędzia.

W tabeli 1. przedstawiono nazwy głównych kategorii, które należy stosować, aby polecenie auditpol prawidłowo interpretowało nasze żądania.

Tab.1. Nazwy kategorii głównych w trybie graficznym i trybie tekstowym.
Kategoria główna	Kategoria główna (auditpol)
Audit system events	System
Audit logon events	Logon/Logoff
Audit object access	Object access
Audit privilege use	Privilege use
Audit process tracking	Detailed tracking
Audit policy change	Policy change
Audit account management	Account management
Audit directory service access	DS access
Audit account logon events	Account logon

Wyświetlenie pomocy systemowej dotyczącej polecenia auditpol wymaga zastosowania dobrze znanej składni z przełącznikiem /?.

auditpol /?

Rys. 3. Główny poziom pomocy polecenia auditpol.

Rys. 4. Pomoc systemowa dotycząca sposobu wyświetlania ustawień polityk kontroli dostępu.

Wyświetlenie wszystkich podkategorii polityk kontroli dotyczących systemu wymaga użycia następującej składni:

auditpol /list /subcategory:System

Wynik wykonania polecenia przedstawiony jest na rysunku 5.

Rys. 5. Lista podkategorii zdarzeń System.

Włączenie rejestrowania zdarzeń sukcesów w ramach podkategorii Security Group Management wymaga zastosowania następującej składni polecenia auditpol:

auditpol /set /subcategory:”Security Group Management” /success:enable

Rys. 6. Wywołanie polecenia auditpol powodującego włączenie rejestrowania zdarzeń sukcesów w podkategorii Security Group Management.

Zwróćmy uwagę, że w składni należy również określić rodzaj rejestrowanych zdarzeń (sukces/niepowodzenie) – odpowiada za to przełącznik /success.

Wyświetlenie bieżących ustawień w ramach kategorii/podkategorii wymaga użycia przełącznika /get. Poniżej przedstawiono składnię, która pozwala na uzyskanie informacji o aktualnych ustawieniach w ramach kategorii Logon/Logoff (Audit logon events). W składni możemy zastosować nazwę lub globalny identyfikator GUID.

Rys. 7. Wywołanie polecenia auditpol powodującego wyświetlenie aktualnych ustawień w zakresie kategorii Logon/Logoff.

Dzięki możliwości użycia symbolu wieloznacznego gwiazdki możemy uzyskać wykaz wszystkich bieżących ustawień w ramach polityk kontroli dostępu.

auditpol /get /category:*

Rys. 8. Fragment wykonania polecenia auditpol wykorzystującego symbol wieloznaczny.

 Do początku strony

Zestawienie polityk kontroli dostępu

Na koniec zamieszczam zbiór polityk kontroli w postaci tabelki. Wierzę, że przyda się ona w trakcie planowania konfiguracji oraz codziennej analizie zdarzeń tych polityk kontroli w Windows Server 2008.

Tab. 2. Zestawienie polityk kontroli dostępu w Windows Server 2008.
Kategoria główna	Kategoria główna (auditpol)	Podkategoria (auditpol)
Audit system events	System	Security State Change
		Security System Extension
		System Integrity
		IPsec Driver
		Other System Events
Audit logon events	Logon/Logoff	Logon
		Logoff
		Account Lockout
		IPsec Main Mode
		IPsec Quick Mode
		IPsec Extended Mode
		Special Logon
		Other Logon/Logoff Events
		Network Policy Server
Audit object Access	Object access	Registry
		Kernel Object
		SAM
		Certification Services
		Application Generated
		Handle Manipulation
		File Share
		Filtering Platform Packet Drop
		Filtering Platform Connection
		Other Object Access Events
Audit privilege use	Privilege use	Sensitive Privilege Use
		Non Sensitive Privilege Use
		Other Privilege Use Events
Audit process tracking	Detailed tracking	Process Creation
		Process Termination
		DPAPI Activity
		RPC Events
Audit policy change	Policy change	Audit Policy Change
		Authentication Policy Change
		Authorization Policy Change
		MPSSVC Rule-Level Policy Change
		Filtering Platform Policy Change
		Other Policy Change Events
Audit account management	Account management	User Account Management
		Computer Account Management
		Security Group Management
		Distribution Group Management
		Application Group Management
		Other Account Management Event
Audit directory service access	DS access	Directory Service Access
		Directory Service Changes
		Directory Service Replication
		Detailed Directory Service Replication
Audit account logon events	Account logon	Kerberos Service Ticket Operations
		Credential Validation
		Kerberos Authentication Service
		Other Account Logon Events

 Do początku strony

Podsumowanie

Polityki kontroli w Windows Server 2008 zostały rozszerzone. Wprowadzenie dwóch poziomów kategorii umożliwia dokładniejsze określenie interesujących nas zdarzeń. Jednocześnie takie rozwiązanie zapobiega nadmiernemu i niepotrzebnemu zapisywaniu informacji.

Dzięki intuicyjnemu i łatwemu w obsłudze narzędziu auditpol zarządzanie politykami kontroli jest obecnie prostsze w potoku codziennych zadań administracyjnych.

---

Paweł Pławiak Autoryzowany trener Microsoft i Training and Development Manager w firmie Compendium - Centrum Edukacyjne Sp. z o.o. jak również wykładowca akademicki. Posiada certyfikaty MCP/MCSA/MCSE/MCTS/MCITP/MCT a od lipca 2009 roku MVP w kategorii Directory Services. Regularnie uczestniczy w wielu projektach i wdrożeniach, gdzie pełni rolę konsultanta rozwiązań opartych o platformę serwerową Windows. Twórca autorskich programów w zakresie automatyzacji systemów Microsoft. Nieprzerwanie poszukuje nowych obszarów, gdzie przekazywanie wiedzy z praktycznymi umiejętnościami pozwala potwierdzać, że to co robi jest jego pasją. Aktywna współpraca z polskim oddziałem firmy Microsoft daje mu szerokie możliwości realizacji swoich zainteresowań w zakresie analizy produktów szkoleniowych oraz certyfikacji. Nieprzerwanie, od momentu inauguracji w maju 2008 roku współprowadzi Warszawską Grupę Użytkowników i Specjalistów Windows (WGUiSW). Prywatnie pasjonat karawaningu.

Do początku strony

---