Asunto
Estoy intentando aplicar un GPO con configuraciones de Política de auditoría de seguridad avanzada a un cliente de Windows 7, pero la configuración no se aplica.
Verifiqué dos veces mi trabajo usando este artículo:http://technet.microsoft.com/en-us/library/dd408940(v=ws.10).aspx
Habilité Auditoría: forzar la configuración de la subcategoría de la política de auditoría (Windows Vista o posterior) para anular la configuración de la categoría de la política de auditoría
Cuando ejecuto auditpol.exe /get /category:* veo que solo se aplican las configuraciones de auditoría avanzadas predeterminadas, no las que configuré en el nuevo GPO. Sé que el GPO en sí se está aplicando a la computadora porque hay otras configuraciones en el GPO y RSOP muestra que el GPO se aplicó correctamente.
Tenemos un GPO superior en la estructura de la unidad organizativa que aplica algunas configuraciones de auditoría avanzadas, así que pensé que por alguna razón estaba interfiriendo o anulando, pero tampoco se muestran en auditpol.exe /get /category:*. Realicé un auditpol.exe /clear que borra la política
| |
Después de auditpol.exe /clear
|
Configuración de categoría/subcategoría
Sistema
Ampliación del sistema de seguridad sin auditoría
Integridad del sistema Sin auditoría
Controlador IPsec sin auditoría
Otros eventos del sistema Sin auditoría
Cambio de estado de seguridad Sin auditoría
Iniciar sesión/Cerrar sesión
Iniciar sesión sin auditoría
Cerrar sesión Sin auditoría
Bloqueo de cuenta sin auditoría
Modo principal IPsec sin auditoría
Modo rápido IPsec sin auditoría
Modo extendido IPsec sin auditoría
Inicio de sesión especial sin auditoría
Otros eventos de inicio/cierre de sesión Sin auditoría
Servidor de políticas de red sin auditoría
Acceso a objetos
Sistema de archivos sin auditoría
Registro Sin Auditoría
Objeto del kernel sin auditoría
SAM sin auditoría
Servicios de Certificación Sin Auditoría
Aplicación generada sin auditoría
Manipulación del manejo sin auditoría
Compartir archivos sin auditoría
Caída de paquetes de plataforma de filtrado sin auditoría
Conexión de plataforma de filtrado Sin auditoría
Otros eventos de acceso a objetos Sin auditoría
Compartir archivos detallados sin auditoría
Uso de privilegios
Uso de privilegios sensibles Sin auditoría
Uso de privilegios no confidenciales Sin auditoría
Otros eventos de uso de privilegios Sin auditoría
Seguimiento detallado
Terminación del proceso Sin auditoría
Actividad DPAPI Sin auditoría
Eventos RPC Sin auditoría
Creación de procesos sin auditoría
Cambio de política
Cambio de política de auditoría Sin auditoría
Cambio de política de autenticación Sin auditoría
Cambio de política de autorización Sin auditoría
MPSSVC Cambio de política a nivel de regla Sin auditoría
Cambio de política de plataforma de filtrado Sin auditoría
Otros eventos de cambio de política Sin auditoría
Administración de cuentas
Gestión de cuentas de usuario sin auditoría
Gestión de cuentas informáticas sin auditoría
Gestión de grupos de seguridad Sin auditoría
Gestión del grupo de distribución Sin auditoría
Gestión de grupos de aplicaciones Sin auditoría
Otros eventos de gestión de cuentas Sin auditoría
Cambios en el servicio de directorio de DS Access Sin auditoría
Replicación del servicio de directorio sin auditoría
Replicación detallada del servicio de directorio sin auditoría
Acceso al servicio de directorio sin auditoría
Inicio de sesión de cuenta
Operaciones de tickets de servicio Kerberos sin auditoría
Otros eventos de inicio de sesión de cuenta Sin auditoría
Servicio de autenticación Kerberos sin auditoría
Validación de Credencial Sin Auditoría
Luego realicé gpupdate /force y reinicié, pero AuditPol todavía muestra "sin auditoría" para todas las configuraciones.
También eliminé el archivo audit.csv, que parece contener la configuración del GPO superior en la estructura (aunque leí que solo contiene configuraciones locales) pero no el nuevo GPO, en C:\Windows\security\audit y luego realizó un gpupdate /force. Después de ejecutar gpupdate /force, el archivo se restableció y mostraba la configuración predeterminada y la configuración de auditoría avanzada del GPO superior en la estructura de la unidad organizativa, no la nueva configuración del GPO, pero auditpol seguía sin mostrar auditoría para todas las configuraciones. Además, la fecha de modificación del archivo audit.csv fue de hace meses, así que sospecho que simplemente está extrayendo la información del GPO inicial. Intenté aplicar y clasificar el nuevo GPO en un nivel más alto, pero todavía no se aplica.
Ambiente
Cliente Windows 7 SP1 y Windows 2008R2 DC
Se agradece cualquier ayuda.
Respuesta1
En Windows 7/Vista: ejecute inicio > cmd.exe.
Para enumerar las opciones:
c:\auditpol /list /subcategory:*
Categoría/Subcategoría
Sistema
- Cambio de estado de seguridad
- Extensión del sistema de seguridad
- Integridad del sistema
- Controlador IPsec
- Otros eventos del sistema
Iniciar sesión/Cerrar sesión
- Iniciar sesión
- Desconectarse
- Bloqueo de cuenta
- Modo principal IPsec
- Modo rápido IPsec
- Modo extendido IPsec
- Inicio de sesión especial
- Otros eventos de inicio/cierre de sesión
- Servidor de políticas de red
Acceso a objetos
- Sistema de archivos
- Registro
- Objeto del núcleo
- Sam
- Servicios de certificación
- Aplicación generada
- Manipulación del mango
- Recurso compartido de archivos
- Caída de paquetes de plataforma de filtrado
- Conexión de plataforma de filtrado
- Otros eventos de acceso a objetos
- Compartir archivos detallados
Uso de privilegios
- Uso de privilegios sensibles
- Uso de privilegios no confidenciales
- Otros eventos de uso de privilegios
Seguimiento detallado
- Creación de procesos
- Terminación del proceso
- Actividad DPAPI
- Eventos RPC
Cambio de política
- Cambio de política de auditoría
- Cambio de política de autenticación
- Cambio de política de autorización
- Cambio de política a nivel de regla MPSSVC
- Cambio de política de plataforma de filtrado
- Otros eventos de cambio de políticas
Administración de cuentas
- Gestión de cuentas de usuario
- Gestión de cuentas informáticas
- Gestión de grupos de seguridad
- Gestión de grupos de distribución
- Gestión de grupos de aplicaciones
- Otros eventos de gestión de cuentas
Acceso DS
- Acceso al servicio de directorio
- Cambios en el servicio de directorio
- Replicación del servicio de directorio
- Replicación detallada del servicio de directorio
Inicio de sesión de cuenta
- Validación de Credencial
- Operaciones de tickets de servicio Kerberos
- Otros eventos de inicio de sesión de cuenta
- Servicio de autenticación Kerberos
Luego use auditpol /set ...para establecer el valor. Para obtener más ayuda, utilice auditpol /?.