Аудит доступа к объектам

Рассмотрим подробнее аудит доступа к объектам. Необходимость регистрации событий доступа к объектам возникает, когда есть подозрения, что кто-то из пользователей пытается получить несанкционированный доступ к информации, к которой он не должен иметь доступа.

По умолчанию на обычном сервере или рабочей станции политики аудита доступа к объектам отключены. Включим данные политики (на уровне сайта, домена или нужного нам ОП) — откроем данный параметр в редакторе политик и установим регистрацию как успешных, так и неуспешных попыток доступа к объектам (рис. 16.9).

Рис. 16.9

После применения политик настроим аудит доступа для нужных объектов (например, для папки Folder1 на сервере DC1) — откроем Свойства данной папки (папка должна быть размещена на разделе с файловой системой NTFS), перейдем на закладку "Безопасность", нажмем кнопку "Дополнительно" и перейдем на закладку "Аудит". Добавим в список пользователей, для которых будут отслеживаться попытки доступа к папке Folder1, группу "Пользователи домена" и установим, какие именно попытки будут регистрироваться в журнале "Безопасность" (например, попытки удаления папок и файлов, успешные и неуспешные, рис. 16.10).

Рис. 16.10

Теперь для проверки работы механизма аудита удалим какой-нибудь файл в этой папке, а затем просмотрим соответствующие события, появившиеся в журнале "Безопасность". Пример события, зарегистрировавшего в журнале безопасности удаление файла "Документ.doc", показан на рис. 16.11 и 16.12:

Рис. 16.11

Рис. 16.12

На рис. 16.11 видно, что пользователь Администратор получил успешный доступ к файлу "H:\Folder1\Документ.doc" на компьютере DC1, а на рис. 16.12 показан вид доступа — DELETE (Удаление).

Не рекомендуем злоупотреблять применением политик аудита доступа к объектам и регистрацией доступа к большому числу объектов, т.к. системой генерируется очень большое число записей, отыскать среди которых нужные будет весьма непросто. К тому же надо будет постоянно заботиться о сохранении старых записей и очистке журнала. Наиболее рациональный способ применения аудита доступа к объектам — настройка данного аудита в те моменты, когда есть обоснованные опасения о наличии в сети попыток несанкционированного доступа.