Emitir
Estou tentando aplicar um GPO com configurações de Política de Auditoria de Segurança Avançada a um cliente Windows 7, mas a configuração não está sendo aplicada.
Verifiquei meu trabalho usando este artigo -http://technet.microsoft.com/en-us/library/dd408940(v=ws.10).aspx
Eu habilitei Auditoria: Forçar configurações de subcategoria de política de auditoria (Windows Vista ou posterior) para substituir configurações de categoria de política de auditoria
Quando executo auditpol.exe /get /category:* vejo que apenas as configurações de auditoria avançadas padrão são aplicadas, não aquelas que defini no novo GPO. Eu sei que o próprio GPO está sendo aplicado ao computador porque outras configurações no GPO estão presentes e o RSOP mostra o GPO aplicado com êxito.
Temos um GPO mais alto na estrutura da UO que aplica algumas configurações de auditoria avançadas, então pensei que por algum motivo ele estava interferindo ou substituindo, mas elas também não estão aparecendo em auditpol.exe /get /category:*. Realizei um auditpol.exe /clear que limpa a política
| |
Após auditpol.exe /clear
|
Configuração de categoria/subcategoria
Sistema
Extensão do sistema de segurança sem auditoria
Integridade do sistema sem auditoria
Driver IPsec sem auditoria
Outros eventos do sistema sem auditoria
Alteração do estado de segurança sem auditoria
Logon/Logoff
Logon sem auditoria
Logoff sem auditoria
Bloqueio de conta sem auditoria
Modo principal IPsec sem auditoria
Modo rápido IPsec sem auditoria
Modo estendido IPsec sem auditoria
Logon especial sem auditoria
Outros eventos de logon/logoff sem auditoria
Servidor de políticas de rede sem auditoria
Acesso a objetos
Sistema de arquivos sem auditoria
Registro sem auditoria
Objeto Kernel sem auditoria
SAM sem auditoria
Serviços de certificação sem auditoria
Aplicativo gerado sem auditoria
Lidar com manipulação sem auditoria
Compartilhamento de arquivos sem auditoria
Filtragem de queda de pacotes da plataforma sem auditoria
Filtrando conexão de plataforma sem auditoria
Outros eventos de acesso a objetos sem auditoria
Compartilhamento detalhado de arquivos sem auditoria
Uso de privilégio
Privilégio sensível, uso sem auditoria
Privilégio não sensível, uso sem auditoria
Outros eventos de uso de privilégios sem auditoria
Rastreamento detalhado
Rescisão do Processo Sem Auditoria
Atividade DPAPI sem auditoria
Eventos RPC sem auditoria
Criação de Processo Sem Auditoria
Mudança de política
Alteração da política de auditoria Sem auditoria
Alteração da política de autenticação sem auditoria
Alteração da política de autorização sem auditoria
Alteração de política em nível de regra MPSSVC sem auditoria
Filtrando alterações na política da plataforma sem auditoria
Outros eventos de mudança de política sem auditoria
Gerenciamento de contas
Gerenciamento de conta de usuário sem auditoria
Gerenciamento de contas de computador sem auditoria
Gerenciamento de grupo de segurança sem auditoria
Gestão de Grupo de Distribuição Sem Auditoria
Gerenciamento de grupo de aplicativos sem auditoria
Outros eventos de gerenciamento de contas sem auditoria
Alterações no serviço de diretório de acesso DS sem auditoria
Replicação de serviço de diretório sem auditoria
Replicação detalhada do serviço de diretório sem auditoria
Acesso ao serviço de diretório sem auditoria
Logon da conta
Operações de ticket de serviço Kerberos sem auditoria
Outros eventos de logon de conta sem auditoria
Serviço de autenticação Kerberos sem auditoria
Validação de credenciais sem auditoria
Em seguida, executei um gpupdate /force e reiniciei, mas o AuditPol ainda mostra 'sem auditoria' para todas as configurações.
Também excluí o arquivo audit.csv, que parece conter as configurações do GPO mais alto na estrutura (embora eu tenha lido que contém apenas configurações locais), mas não o novo GPO, em C:\Windows\security\audit e em seguida, executei um gpupdate /force. Depois de executar gpupdate /force, o arquivo foi reintegrado e mostrou as configurações padrão e as configurações de auditoria avançadas do GPO superior na estrutura da UO, não as novas configurações do GPO, mas o auditpol ainda não mostrava nenhuma auditoria para todas as configurações. Além disso, a data de modificação do arquivo audit.csv foi de meses atrás, então suspeito que seja apenas puxando o informado do GPO inicial? Tentei impor e classificar o novo GPO em uma posição mais alta, mas ele ainda não se aplica.
Ambiente
cliente Windows 7 SP1 e Windows 2008R2 DC
Qualquer ajuda é apreciada.
Responder1
No Windows 7/Vista: execute iniciar > cmd.exe.
Para listar as opções:
c:\auditpol /list /subcategory:*
Categoria/Subcategoria
Sistema
- Mudança de estado de segurança
- Extensão do sistema de segurança
- Integridade do sistema
- Driver IPsec
- Outros eventos do sistema
Logon/Logoff
- Entrar
- Sair
- Bloqueio de conta
- Modo principal IPsec
- Modo rápido IPsec
- Modo estendido IPsec
- Logon especial
- Outros eventos de logon/logoff
- Servidor de políticas de rede
Acesso a objetos
- Sistema de arquivo
- Registro
- Objeto Kernel
- SAM
- Serviços de certificação
- Aplicativo gerado
- Lidar com manipulação
- Compartilhamento de arquivo
- Filtragem de queda de pacotes da plataforma
- Filtrando a conexão da plataforma
- Outros eventos de acesso a objetos
- Compartilhamento detalhado de arquivos
Uso de privilégio
- Uso de privilégios sensíveis
- Uso de privilégio não sensível
- Outros eventos de uso de privilégios
Rastreamento detalhado
- Criação de Processo
- Rescisão do Processo
- Atividade DPAPI
- Eventos RPC
Mudança de política
- Mudança na política de auditoria
- Mudança na política de autenticação
- Alteração da política de autorização
- Alteração de política em nível de regra MPSSVC
- Filtrando alterações na política da plataforma
- Outros eventos de mudança de política
Gerenciamento de contas
- Gerenciamento de conta de usuário
- Gerenciamento de contas de computador
- Gerenciamento de grupo de segurança
- Gestão de Grupo de Distribuição
- Gerenciamento de grupo de aplicativos
- Outros eventos de gerenciamento de contas
Acesso DS
- Acesso ao serviço de diretório
- Alterações no serviço de diretório
- Replicação de serviço de diretório
- Replicação detalhada do serviço de diretório
Logon da conta
- Validação de credenciais
- Operações de tíquete de serviço Kerberos
- Outros eventos de logon de conta
- Serviço de autenticação Kerberos
Em seguida, use auditpol /set ...para definir o valor. Para obter mais ajuda, use auditpol /?.