Share via

Настройка политик аудита для журналов событий Windows

  • Статья

Microsoft Defender для удостоверений обнаружение зависит от определенных записей журнала событий Windows для улучшения обнаружения и предоставления дополнительных сведений о пользователях, выполняющих определенные действия, таких как входы в систему NTLM и изменения группы безопасности.

Чтобы правильные события были проверены и включены в журнал событий Windows, контроллеры домена требуют определенных параметров политики расширенного аудита Windows Server. Неправильно настроенные параметры политики расширенного аудита могут привести к пробелам в журнале событий и неполном защитнике для удостоверений.

В этой статье описывается настройка параметров расширенной политики аудита при необходимости для датчика Defender для удостоверений и других конфигураций для определенных типов событий.

Дополнительные сведения см. в статье "Что такое коллекция событий Windows для Защитника для удостоверений и расширенных политик аудита безопасности" в документации По Windows.

Создание отчета с текущими конфигурациями с помощью PowerShell

Предварительные требования. Перед выполнением команд Defender для удостоверений PowerShell убедитесь, что вы скачали модуль Defender для удостоверений PowerShell.

Прежде чем приступить к созданию новых политик событий и аудита, рекомендуется выполнить следующую команду PowerShell, чтобы создать отчет о текущих конфигурациях домена:

New-MDIConfigurationReport [-Path] <String> [-Mode] <String> [-OpenHtmlReport]

Где:

  • Путь указывает путь для сохранения отчетов в
  • Режим указывает, следует ли использовать режим Domain или LocalMachine . В режиме домена параметры собираются из объектов групповой политики. В режиме LocalMachine параметры собираются с локального компьютера.
  • OpenHtmlReport открывает HTML-отчет после создания отчета

Например, чтобы создать отчет и открыть его в браузере по умолчанию, выполните следующую команду:

New-MDIConfigurationReport -Path "C:\Reports" -Mode Domain -OpenHtmlReport

Дополнительные сведения см. в справочнике по DefenderforIdentity PowerShell.

Совет

Отчет в режиме Domain включает только конфигурации, заданные как групповые политики в домене. Если у вас есть параметры, определенные локально на контроллерах домена, рекомендуется также запустить скрипт Test-MdiReadiness.ps1 .

Настройка аудита для контроллеров домена

При работе с контроллером домена необходимо обновить параметры расширенной политики аудита и дополнительные конфигурации для определенных событий и типов событий, таких как пользователи, группы, компьютеры и многое другое. Ниже указаны конфигурации аудита для контроллеров домена:

Настройка параметров расширенной политики аудита

В этой процедуре описывается, как изменить расширенные политики аудита контроллера домена при необходимости для Defender для удостоверений.

  1. Войдите на сервер как домен Администратор istrator.

  2. Откройте редактор управления групповыми политиками из диспетчер сервера> Tools>Group Policy Management.

  3. Разверните организационные подразделения контроллеров домена, щелкните правой кнопкой мыши политику контроллеров домена по умолчанию и выберите пункт "Изменить". Рассмотрим пример.

    Screenshot of the Edit domain controller policy dialog.

    Примечание.

    Используйте политику контроллеров домена по умолчанию или выделенный объект групповой политики, чтобы задать эти политики.

  4. В открывающемся окне перейдите к политикам>конфигурации>компьютера Windows Параметры Security Параметры> и в зависимости от политики, которую вы хотите включить, сделайте следующее:

    1. Перейдите к политикам аудита конфигурации расширенной>политики аудита. Например:

      Screenshot of the Advanced Audit Policy Configuration dialog.

    2. В разделе "Политики аудита" измените каждую из следующих политик и выберите "Настроить следующие события аудита" для событий успешного и сбоя.

      Политика аудита Подкатегории Идентификаторы событий триггеров
      Вход в учетную запись Аудит проверки учетных данных 4776
      управление учетными записями; Аудит управления учетными записями компьютера * 4741, 4743
      управление учетными записями; Аудит управления группами распространения 4753, 4763
      управление учетными записями; Аудит управления группами безопасности * 4728, 4729, 4730, 4732, 4733, 4756, 4757, 4758
      управление учетными записями; Аудит управления учетными записями пользователей 4726
      DS Access Аудит изменения службы каталогов 5136
      Системные Расширение системы безопасности аудита * 7045
      DS Access Аудит доступа к службе каталогов 4662 — для этого события необходимо также настроить аудит объектов домена.

      Примечание.

      * Отмеченные подкатегории не поддерживают события сбоя. Однако мы рекомендуем добавить их в целях аудита в случае их реализации в будущем. Дополнительные сведения см. в разделе "Управление учетными записями компьютера", "Аудит управления группами безопасности" и "Расширение системы безопасности аудита".

      Например, чтобы настроить управление группами безопасности аудита, в разделе "Управление учетными записями" дважды щелкните "Аудит управления группами безопасности", а затем выберите "Настроить следующие события аудита" для событий успешности и сбоя:

      Screenshot of the Audit Security Group Management dialog.

  5. В командной строке с повышенными привилегиями введите gpupdate.

  6. После применения политики с помощью групповой политики новые события отображаются в Просмотр событий в разделе журналов Windows ->Security.

Тестирование политик аудита из командной строки

Чтобы проверить политики аудита из командной строки, выполните следующую команду:

auditpol.exe /get /category:*

Дополнительные сведения см . в справочной документации auditpol.

Настройка, получение и проверка политик аудита с помощью PowerShell

Чтобы настроить политики аудита с помощью PowerShell, выполните следующую команду:

Set-MDIConfiguration [-Mode] <String> [-Configuration] <String[]> [-CreateGpoDisabled] [-SkipGpoLink] [-Force]

Где:

  • Режим указывает, следует ли использовать режим Domain или LocalMachine . В режиме домена параметры собираются из объектов групповой политики. В режиме LocalMachine параметры собираются с локального компьютера.

  • Конфигурация указывает, какую конфигурацию следует задать. Используется All для задания всех конфигураций.

  • CreateGpoDisabled указывает, создаются ли объекты групповой политики и хранятся как отключенные.

  • SkipGpoLink указывает, что ссылки групповой политики не создаются.

  • Force указывает, что конфигурация настроена или объекты групповой политики создаются без проверки текущего состояния.

Чтобы просмотреть или проверить политики аудита с помощью PowerShell, выполните следующие команды по мере необходимости. Используйте команду Get-MDIConfiguration, чтобы отобразить текущие значения. Используйте команду Test-MDIConfiguration, чтобы получить true ответ false о том, правильно ли настроены значения.

Get-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>

Где:

  • Режим указывает, следует ли использовать режим Domain или LocalMachine . В режиме домена параметры собираются из объектов групповой политики. В режиме LocalMachine параметры собираются с локального компьютера.

  • Конфигурация указывает, какая конфигурация требуется получить. Используется All для получения всех конфигураций.

Test-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>

Где:

  • Режим указывает, следует ли использовать режим Domain или LocalMachine . В режиме домена параметры собираются из объектов групповой политики. В режиме LocalMachine параметры собираются с локального компьютера.

  • Конфигурация указывает, какая конфигурация требуется протестировать. Используется All для тестирования всех конфигураций.

Дополнительные сведения см. в следующих ссылках на DefenderForIdentity PowerShell:

Настройка аудита NTLM

В этом разделе описаны дополнительные действия по настройке, необходимые для аудита идентификатора события 8004.

Примечание.

  • Политики группы домена для сбора событий Windows 8004 должны применяться только к контроллерам домена.
  • Когда событие Windows 8004 анализируется датчиком удостоверений Defender для удостоверений, действия проверки подлинности Defender для удостоверений NTLM обогащены доступом к серверу.

  1. После начальных шагов откройте групповую политику управления и перейдите к параметрам безопасности локальных политик>политики контроллеров>домена по умолчанию.

  2. В разделе "Параметры безопасности" настройте указанные политики безопасности следующим образом:

    Параметр политики безопасности Значение
    Безопасность сети: ограничение NTLM: исходящий трафик NTLM на удаленные серверы Аудит всех
    Безопасность сети: ограничение NTLM: аудит проверки подлинности NTLM в этом домене Включить все
    Безопасность сети: ограничение NTLM: аудит входящего трафика NTLM Включение аудита для всех учетных записей

Например, чтобы настроить исходящий трафик NTLM на удаленные серверы, в разделе "Параметры безопасности" дважды щелкните " Сетевая безопасность": ограничить NTLM: Исходящий трафик NTLM на удаленные серверы, а затем выберите "Аудит всех".

Screenshot of the Audit Outgoing NTLM traffic to remote servers configuration.

Настройка аудита объектов домена

Чтобы собирать события для изменений объектов, таких как событие 4662, необходимо также настроить аудит объектов для пользователя, группы, компьютера и других объектов. В этой процедуре описывается, как включить аудит в домене Active Directory.

Важно!

Перед включением коллекции событий убедитесь , что контроллеры домена правильно настроены для записи необходимых событий и проверить политики аудита. При правильной настройке этот аудит должен иметь минимальное влияние на производительность сервера.

  1. Перейдите в консоль Пользователи и компьютеры Active Directory.

  2. Выберите домен, который требуется выполнить аудит.

  3. Выберите меню "Вид" и выберите пункт "Дополнительные функции".

  4. Щелкните правой кнопкой мыши домен и выберите "Свойства". Например:

    Screenshot of the container properties option.

  5. Перейдите на вкладку "Безопасность " и выберите " Дополнительно". Например:

    Screenshot of the advanced security properties dialog.

  6. В Параметры расширенной безопасности выберите вкладку "Аудит" и нажмите кнопку "Добавить". Например:

    Screenshot of the Advanced Security Settings Auditing tab.

  7. Выберите субъект. Например:

    Screenshot of the Select a principal option.

  8. В разделе "Введите имя объекта", чтобы выбрать, введите "Все" и нажмите кнопку "Проверить имена".> Например:

    Screenshot of the Select everyone settings.

  9. Затем вы вернеесь к записи аудита. Выберите указанные ниже параметры.

    1. Для параметра "Тип " выберите "Успех".

    2. Для параметра "Область применения" выберитеобъекты "Пользователь-потомок".

    3. В разделе "Разрешения" прокрутите вниз и нажмите кнопку "Очистить все ". Например:

      Screenshot of selecting Clear all.

    4. Прокрутите резервную копию и выберите полный доступ. Выбраны все разрешения.

    5. Снимите флажок для содержимого списка, чтение всех свойств и разрешений на чтение и нажмите кнопку "ОК". Это задает все параметры свойств для записи. Например:

      Screenshot of selecting permissions.

      Теперь при активации все соответствующие изменения в службах каталогов отображаются как 4662 события.

  10. Повторите действия, описанные в этой процедуре, но для применения выберите следующие типы объектов:

    • Объекты группы потомков
    • Объекты потомков компьютеров
    • Объекты Потомка msDS-GroupManagedServiceAccount
    • Объекты Descendant msDS-ManagedServiceAccount

Примечание.

Назначение разрешений аудита для всех потомков также будет работать, но нам требуются только типы объектов, как описано на последнем шаге.

Настройка аудита в службы федерации Active Directory (AD FS) (AD FS)

  1. Перейдите в консоль Пользователи и компьютеры Active Directory и выберите домен, в который нужно включить вход.

  2. Перейдите к программным данным>Microsoft>ADFS. Например:

    Screenshot of an ADFS container.

  3. Щелкните ADFS правой кнопкой мыши и выберите "Свойства".

  4. Перейдите на вкладку "Безопасность" и выберите вкладку >"Дополнительное>обеспечение безопасности" Параметры> Auditing "Добавить>субъект".

  5. В разделе "Введите имя объекта", чтобы выбрать, введите "Все".

  6. Нажмите Проверить имена>ОК.

  7. Затем вы вернеесь к записи аудита. Выберите указанные ниже параметры.

    • Для параметра "Тип " выберите "Все".
    • Чтобы выбрать этот объект и все объекты-потомки, применяется.
    • В разделе "Разрешения" прокрутите вниз и нажмите кнопку "Очистить все". Прокрутите страницу вверх и выберите "Чтение всех свойств " и "Запись всех свойств".

    Например:

    Screenshot of the auditing settings for ADFS.

  8. Нажмите ОК.

Настройка аудита для служб сертификатов Active Directory (AD CS)

Если вы работаете с выделенным сервером с настроенными службами сертификатов Active Directory (AD CS), обязательно настройте аудит следующим образом, чтобы просмотреть выделенные оповещения и отчеты о оценке безопасности:

  1. Создайте групповую политику для применения к серверу AD CS. Измените его и настройте следующие параметры аудита:

    1. Перейдите и дважды выберите конфигурация компьютера\Политики\Windows Параметры\Безопасность Параметры\Advanced Audit Policy Configuration\Audit Policies\Object Access\Audit Certification Services.

    2. Выберите, чтобы настроить события аудита для успешного выполнения и сбоя. Например:

      Screenshot of the Group Policy Management Editor.

  2. Настройте аудит центра сертификации (ЦС) с помощью одного из следующих методов:

    • Чтобы настроить аудит ЦС с помощью командной строки, выполните следующую команду:

      certutil –setreg CA\AuditFilter 127 

net stop certsvc && net start certsvc

    • Чтобы настроить аудит ЦС с помощью графического интерфейса, выполните следующие действия.

      1. Выберите "Пуск —> центр сертификации" (классическое приложение MMC). Щелкните правой кнопкой мыши имя ЦС и выберите пункт "Свойства". Например:

        Screenshot of the Certification Authority dialog.

      2. Перейдите на вкладку "Аудит ", выберите все события, которые требуется выполнить аудит, а затем нажмите кнопку "Применить". Рассмотрим пример.

        Screenshot of the Properties Auditing tab.

Примечание.

Настройка аудита событий "Запуск и остановка служб сертификатов Active Directory" может привести к задержкам перезапуска при работе с большой базой данных AD CS. Рассмотрите возможность удаления неуместных записей из базы данных или, кроме того, воздержаться от включения этого конкретного типа события.

Настройка аудита в контейнере конфигурации

  1. Откройте команду ADSI Edit, нажав кнопку "Запустить".> Введите ADSIEdit.msc и нажмите кнопку "ОК".

  2. В меню "Действие" выберите Подключение.

  3. В диалоговом окне Подключение Параметры в разделе "Выбор известного контекста именования" нажмите кнопку "Конфигурация>ОК".

  4. Разверните контейнер конфигурации, чтобы отобразить узел конфигурации, начиная с "CN=Configuration,DC=..."

  5. Щелкните правой кнопкой мыши узел конфигурации и выберите "Свойства". Например:

    Screenshot of the Configuration node properties.

  6. Выберите вкладку >"Безопасность" дополнительно.

  7. В Параметры расширенной безопасности выберите вкладку> "Аудит".

  8. Выберите субъект.

  9. В разделе "Введите имя объекта", чтобы выбрать, введите "Все" и нажмите кнопку "Проверить имена".>

  10. Затем вы вернеесь к записи аудита. Выберите указанные ниже параметры.

    • Для параметра "Тип " выберите "Все".
    • Чтобы выбрать этот объект и все объекты-потомки, применяется.
    • В разделе "Разрешения" прокрутите вниз и нажмите кнопку "Очистить все". Прокрутите страницу вверх и выберите " Записать все свойства".

    Например:

    Screenshot of the auditing settings for the Configuration container.

  11. Нажмите ОК.

Устаревшие конфигурации

Важно!

Defender для удостоверений больше не требует ведения журнала 1644 событий. Если этот параметр реестра включен, его можно удалить.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics]
"15 Field Engineering"=dword:00000005

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters]
"Expensive Search Results Threshold"=dword:00000001
"Inefficient Search Results Threshold"=dword:00000001
"Search Time Threshold (msecs)"=dword:00000001

Связанный контент

Дополнительные сведения см. в статье об аудите безопасности Windows.

Следующий шаг

Что такое роли и разрешения Defender для удостоверений? »