2015年8月3日星期一

Windows Server 2008 R2之八目录服务审核策略

相对于以前的操作系统Windows 2000 Server 和 Windows Server 2003 中,Windows Server 2008的目录服务策略分为四个子类别:

   目录服务访问(Directory Service Access)
   目录服务更改(Directory Service Changes)
   目录服务复制(Directory Service Replication)
   详细的目录服务复制(Detailed Directory Service Replication)

   可以审核的更改类型包括用户(或任何安全主体)创建、修改、移动和恢复对象。目录服务审核策略可以在事件中精确记录如下信息:修改前后的值、什么时候修改的、谁修改的、都修改了哪些对象。   

实验环境:计算机Win2008R2CNDC是一台DC,所有操作在这台DC上完成   

操作步骤:

   步骤一:启用审核策略。
   步骤二:通过使用“Active Directory 用户和计算机”在对象 SACL 中设置审核。
           为了便于操作,在操作之前先建立了一个组织单元hbycrsj_ou。   

步骤一:启用审核策略

使用 Windows 界面启用全局审核策略的步骤

   1、单击“开始”,指向“管理工具”,然后单击“组策略管理”或运行GPMC.msc。

   2、在控制台树中,双击林的名称,双击“域”,双击您的域名,双击“域控制器”,右键单击“默认域控制器策略”,然后单击“编辑”。

   3、在“计算机配置”下,依次双击“策略”、“Windows 设置”、“安全设置”、“本地策略”和“审核策略”。

   4、在“审核策略”中右键单击“审核目录服务访问”,然后单击“属性”。

   选中“定义这些策略设置”复选框。

   在“审核这些操作”下,选中“成功”复选框,然后单击“确定”。

Windows <wbr>Server <wbr>2008 <wbr>R2之八目录服务审核策略

Windows <wbr>Server <wbr>2008 <wbr>R2之八目录服务审核策略

使用命令行启用更改审核策略的步骤

   输入命令:auditpol /set /subcategory:"目录服务更改" /success:enable启用更改审核策略

   可以输入命令 auditpol /get /category:* /r 显示策略使用情况

Windows <wbr>Server <wbr>2008 <wbr>R2之八目录服务审核策略

   auditpol /set /subcategory:{0CCE923A-69AE-11D9-BED3-505054503030} /success:enable

注意:subcategory后面可以是目录服务策略字符,也可以是目录服务策略的GUID。如果在英文2008状态,目录服务策略字符必须是英文;在中文2008状态,目录服务策略字符必须是中文。否则会出现如下图错误

Windows <wbr>Server <wbr>2008 <wbr>R2之八目录服务审核策略

   输入auditpol /get /subcategory:{0CCE923A-69AE-11D9-BED3-505054503030} 查看策略设置情况

Windows <wbr>Server <wbr>2008 <wbr>R2之八目录服务审核策略

步骤二:在对象 SACL 中设置审核的步骤

   单击“开始”,指向“管理工具”,然后单击“Active Directory 用户和计算机”。

   右键单击需要启用审核的组织单位 (OU)(Hbycrsj_OU),然后单击“属性”。

   单击“安全”选项卡,单击“高级”,然后单击“审核”选项卡。

   单击“添加”,并在“输入要选择的对象名称”下键入“Authenticated Users”(或任何其他安全主体),然后单击“确定”。

   在“应用到”中,单击“子用户对象”(或任何其他对象)。

   在“访问”下,选中“写入所有属性”的“成功”复选框。

   单击“确定”直到退出 OU 或其他对象的属性表。
注意:如果属性菜单中没有安全,请在Active Directory 用户和计算机管理控制台选择“菜单”中的“高级功能”

Windows <wbr>Server <wbr>2008 <wbr>R2之八目录服务审核策略Windows <wbr>Server <wbr>2008 <wbr>R2之八目录服务审核策略Windows <wbr>Server <wbr>2008 <wbr>R2之八目录服务审核策略Windows <wbr>Server <wbr>2008 <wbr>R2之八目录服务审核策略

检验AD改变与事件日志

   我们可以在Hbycrsj_OU这个组织单元中进行新建用户、修改用相关属性、移动用户等操作后,打开事件查看器查看安全日志,会发现一些事件ID为5136(修改)、5137(创建)、5138(恢复)、5139(移动)的目录服务审核事件。

1 条评论: