Поделиться через

Рекомендации по политике аудита системы

В этой статье рассматриваются параметры политики аудита Windows, базовые и расширенные рекомендации майкрософт для рабочих станций и серверов. Он предоставляет рекомендации по выбору соответствующих политик аудита администраторам в зависимости от потребностей организации.

Базовые рекомендации диспетчера соответствия требованиям безопасности (SCM), показанные здесь, а также рекомендуемые параметры, помогающие обнаружить компрометацию системы, предназначены только для запуска базового руководства для администраторов. Каждая организация должна принимать собственные решения по поводу угроз, с которыми они сталкиваются, их допустимых уровней рисков, а также какие категории или подкатегории политики аудита следует включить. Администраторы без тщательной политики аудита рекомендуется начать с параметров, рекомендуемых здесь, а затем изменить и проверить перед реализацией в рабочей среде.

Рекомендации предназначены для компьютеров корпоративного класса, которые Корпорация Майкрософт определяет как компьютеры, имеющие средние требования к безопасности и требующие высокого уровня функциональных возможностей. Организации с более высокими требованиями к безопасности должны учитывать более строгие политики аудита.

Следующие базовые параметры политики аудита рекомендуется использовать для обычных компьютеров с нормальной безопасностью, которые, как известно, не находятся под активной, успешной атакой целенаправленных злоумышленников или вредоносных программ.

В этом разделе содержатся таблицы, которые перечисляют рекомендации по настройке аудита, применяемые к операционной системе Windows (ОС) как для клиента, так и для сервера.

Условные обозначения таблицы политики аудита системы

Нотация Рекомендация
Да Включите в общих сценариях
Нет Не включать в обычных сценариях
Если Включите, если это необходимо для конкретного сценария, или если роль или функция, для которой требуется аудит, установлена на компьютере.
Постоянный ток (DC) Включите на контроллерах домена
[Пусто] Нет рекомендации

Эти таблицы содержат параметры Windows по умолчанию, базовые рекомендации и более строгие рекомендации в зависимости от того, какую платформу ОС вы используете.

Категория политики аудита или подкатегория Windows по умолчанию
Success | Failure		 Базовая рекомендация
Success | Failure		 Более надежная рекомендация
Success | Failure
Вход в учетную запись
Аудит валидации учетных данных No | No Yes | No Yes | Yes
Аудит службы проверки подлинности Kerberos Yes | Yes
Аудит операций с билетами службы Kerberos Yes | Yes
Аудит других событий входа учетных записей Yes | Yes
Категория политики аудита или подкатегория Windows по умолчанию
Success | Failure		 Базовая рекомендация
Success | Failure		 Более надежная рекомендация
Success | Failure
управление учетными записями;
Аудит управления группами приложений
Аудит управления учетными записями компьютеров Yes | No Yes | Yes
Аудит управления группами распространения
Аудит других событий управления учетными записями Yes | No Yes | Yes
Аудит управления группами безопасности Yes | No Yes | Yes
Аудит управления учетными записями пользователей Yes | No Yes | No Yes | Yes
Категория политики аудита или подкатегория Windows по умолчанию
Success | Failure		 Базовая рекомендация
Success | Failure		 Более надежная рекомендация
Success | Failure
Подробное отслеживание
Аудит активности DPAPI Yes | Yes
Аудит создания процессов Yes | No Yes | Yes
Завершение процесса аудита
Аудит событий RPC
Категория политики аудита или подкатегория Windows по умолчанию
Success | Failure		 Базовая рекомендация
Success | Failure		 Более надежная рекомендация
Success | Failure
DS Access
Аудит детализированной репликации службы каталогов
Аудит доступа к службе каталогов
Аудит изменений службы каталогов
Аудит репликации службы каталогов
Категория политики аудита или подкатегория Windows по умолчанию
Success | Failure		 Базовая рекомендация
Success | Failure		 Более надежная рекомендация
Success | Failure
Вход и выход
Аудит блокировки учетных записей Yes | No Yes | No
Аудит заявок пользователей или устройств на доступ
Аудит расширенного режима IPsec
Аудит основного режима IPsec IF | IF
Аудит быстрого режима IPsec
Аудит выхода из системы Yes | No Yes | No Yes | No
Аудит входа 1 Yes | Yes Yes | Yes Yes | Yes
Аудит сервера политики сети Yes | Yes
Аудит других событий входа и выхода
Аудит специального входа Yes | No Yes | No Yes | Yes

1 Начиная с Windows 10 версии 1809, вход аудита включен по умолчанию как для успешного выполнения, так и для сбоя. В предыдущих версиях Windows по умолчанию был включен только параметр "Успех".

Категория политики аудита или подкатегория Windows по умолчанию
Success | Failure		 Базовая рекомендация
Success | Failure		 Более надежная рекомендация
Success | Failure
Доступ к объектам
Аудит событий, создаваемых приложениями
Аудит служб сертификации
Детализированный аудит общего файлового доступа
Аудит общего файлового ресурса
Аудит файловой системы
Аудит подключения платформы фильтрации
Аудит отбрасывания пакетов платформой фильтрации
Аудит работы с дескрипторами
Аудит объектов ядра
Аудит других событий доступа к объектам
Аудит реестра
Аудит съемных устройств
Аудит управления программными активами
Аудит промежуточного этапа централизованной политики доступа
Категория политики аудита или подкатегория Windows по умолчанию
Success | Failure		 Базовая рекомендация
Success | Failure		 Более надежная рекомендация
Success | Failure
Изменение политики
Аудит изменения политики аудита Yes | No Yes | Yes Yes | Yes
Аудит изменения политики проверки подлинности Yes | No Yes | No Yes | Yes
Аудит изменения политики авторизации
Аудит изменения политики платформы фильтрации
Аудит изменения политики на уровне правил MPSSVC Yes
Аудит других событий изменения политики
Категория политики аудита или подкатегория Windows по умолчанию
Success | Failure		 Базовая рекомендация
Success | Failure		 Более надежная рекомендация
Success | Failure
Использование привилегий
Аудит использования привилегий, не затрагивающих конфиденциальные данные
Аудит других событий использования привилегий
Аудит использования чувствительных привилегий
Категория политики аудита или подкатегория Windows по умолчанию
Success | Failure		 Базовая рекомендация
Success | Failure		 Более надежная рекомендация
Success | Failure
Система
Аудит драйвера IPsec Yes | Yes Yes | Yes
Аудит других системных событий Yes | Yes
Аудит изменения состояния безопасности Yes | No Yes | Yes Yes | Yes
Аудит расширения системы безопасности Yes | Yes Yes | Yes
Аудит целостности системы Yes | Yes Yes | Yes Yes | Yes
Категория политики аудита или подкатегория Windows по умолчанию
Success | Failure		 Базовая рекомендация
Success | Failure		 Более надежная рекомендация
Success | Failure
Аудит доступа к глобальным объектам
Аудит драйвера IPsec
Аудит других системных событий
Аудит изменения состояния безопасности
Аудит расширения системы безопасности
Аудит целостности системы

Настройка политики аудита на рабочих станциях и серверах

Для эффективного управления журналами событий требуется мониторинг рабочих станций и серверов. Сосредоточение исключительно на серверах или контроллерах домена (DC) является распространённым упущением, так как начальные признаки вредоносной активности часто проявляются на рабочих станциях. Включив рабочие станции в стратегию мониторинга, вы получаете доступ к критическим ранним индикаторам компрометации.

Перед развертыванием любой политики аудита в рабочей среде администраторы должны тщательно проверять, тестировать и проверять политику, чтобы обеспечить соответствие требованиям безопасности организации и эксплуатации.

События для мониторинга

Идеальный идентификатор события для создания оповещения системы безопасности должен содержать следующие атрибуты:

  • Высокая вероятность того, что случай указывает на несанкционированную активность

  • небольшое число ложных срабатываний;

  • Инцидент должен привести к расследованию или судебно-экспертному отклику.

Следует отслеживать и оповещать два типа событий:

  • События, где происшествие является сильным индикатором несанкционированной или подозрительной активности.

  • Совокупность событий сверх ожидаемого и принятого уровня.

Пример первого события:

Если администраторам домена запрещено входить на компьютеры, которые не являются контроллерами домена, единственный случай входа члена администратора домена на рабочую станцию конечного пользователя должен вызвать тревогу и быть расследован. Этот тип оповещения легко создать с помощью события "Аудит специальной авторизации" 4964 (специальные группы были назначены новой авторизации). К другим примерам оповещений одиночного экземпляра относятся:

  • Если сервер A никогда не должен подключаться к серверу B, оповещение при подключении друг к другу.

  • Оповещение, если стандартная учетная запись пользователя неожиданно добавляется в привилегированную или конфиденциальную группу безопасности.

  • Если сотрудники в расположении фабрики A никогда не работают ночью, оповещайте, когда пользователь входит в систему ночью.

  • Оповещение, если несанкционированная служба установлена на контроллере домена.

  • Проверьте, пытается ли обычный конечный пользователь напрямую войти в SQL Server, для которого у них нет четкой причины для этого.

  • Если у вас нет участников в группе администрирования домена, и кто-то добавляет себя туда, немедленно проверьте его.

Примером второго события является:

Большое количество неудачных попыток входа может сигнализировать о атаке на угадывание паролей. Чтобы обнаружить это, организации должны сначала определить, что такое обычный уровень неудачных входов в свою среду. Затем оповещения можно активировать при превышении этого базового уровня.

Полный список событий, которые следует включить при мониторинге признаков компрометации, см. в приложении L: События для мониторинга.

Объекты и атрибуты Active Directory для мониторинга

Ниже приведены учетные записи, группы и атрибуты, которые следует отслеживать, чтобы помочь вам обнаружить попытки компрометации установки домен Active Directory Services.

  • Системы для отключения или удаления антивирусного и антивредоносного программного обеспечения (автоматически перезапустите защиту при отключении вручную)

  • Учетные записи администратора для несанкционированных изменений

  • Действия, выполняемые с помощью привилегированных учетных записей (автоматически удаляются при завершении подозрительных действий или истечении срока действия).

  • Привилегированные и VIP учетные записи в AD DS. Отслеживайте изменения атрибутов на вкладке "Учетная запись", например:

    • цн

    • имя

    • sAMAccountName

    • ИмяОсновногоПользователя

    • управление учетной записью пользователя

    Помимо мониторинга учетных записей, ограничьте круг тех, кто может изменять их, как можно меньшим количеством административных пользователей. См. приложение L: События для мониторинга для списка рекомендуемых событий для отслеживания, их оценки критической важности и сводки сообщения о событии.

  • Группировать серверы по классификации рабочих нагрузок, что позволяет быстро определить серверы, которые должны быть наиболее тщательно отслеживаемыми и наиболее строго настроенными.

  • Изменения в свойствах и членстве следующих групп AD DS:

    • Администраторы

    • Администраторы домена

    • Администраторы предприятия

    • Администраторы схемы

  • Отключенные привилегированные учетные записи (например, встроенные учетные записи администратора в Active Directory и на рабочих станциях) для управления этими учетными записями.

  • Учетные записи управления для записи всех записей в учетную запись

  • Встроенный мастер настройки безопасности для настройки службы, реестра, аудита и брандмауэра для уменьшения области атаки сервера. Используйте этот мастер, если вы реализуете прыжковые серверы в рамках вашей стратегии управления административными узлами.

Дополнительная информация для мониторинга AD DS

Дополнительные сведения о мониторинге AD DS см. по следующим ссылкам:

Критические особенности рекомендаций по идентификатору событий безопасности

Все рекомендации по идентификатору события сопровождаются оценкой критической важности следующим образом:

Рейтинг Описание
Высокий уровень Идентификаторы событий с высокой критической оценкой должны всегда и немедленно быть оповещены и расследованы.
Средний Идентификатор события со средней критической оценкой может указывать на вредоносные действия, но он должен сопровождаться некоторыми другими аномалиями. Примером может быть необычное количество событий, происходящих в определённый период времени, неожиданные события или случаи, когда на компьютере фиксируются события, которые обычно не должны регистрироваться. Событие средней важности также может быть собрано как метрика, а затем сравнивается с течением времени.
Низкий Идентификатор события с низкой критичностью не должен привлекать внимание или вызывать оповещения, если он не связан со средними или высококритичными событиями.

Эти рекомендации предназначены для предоставления базового руководства администратора. Перед реализацией в рабочей среде необходимо тщательно проверить все рекомендации.

См. также