Роман Клименко - Windows Vista. Для профессионалов

• Account Logon – определяет аудит событий аутентификации пользователей в системе. В нее входят следующие подкатегории:

– Kerberos Ticket Events – аудит использования билетов Kerberos;

– Other Account Logon Events – аудит других событий;

– Credential Validation – аудит входа в систему с использованием учетных записей.

• Account Management – определяет аудит событий изменения параметров настройки учетных записей пользователей. Например, изменения членства в группах, создание и удаление новых учетных записей. В нее входят следующие подкатегории:

– Computer Account Management – изменение системных учетных записей;

– Security Group Management – смена системных групп пользователей;

– Distribution Group Management – изменение в распределении групп пользователей;

– Application Group Management – смена групп приложений;

– Other Account Management Events – изменение других групп пользователей;

– User Account Management – смена пользовательских учетных записей.

• Object Access – определяет аудит событий доступа к объектам (файлам, папкам, принтерам, разделам реестра , системным службам и т. д.). Именно к этой категории относится аудит, который назначается с помощью вкладки Аудит окна Дополнительные параметры безопасности (данное окно отображается после нажатия кнопки Дополнительно окна Свойства папки, файла, принтера или подраздела реестра ). В нее входят следующие подкатегории:

– File System – объекты файловой системы;

– Registry – ветви реестра ;

– Kernel Object – объекты ядра;

– SAM – объекты базы данных локальной безопасности SAM;

– Certification Services – объекты служб сертификации;

– Application Generated – объекты генерирования приложений;

– Handle Manipulation – объекты работы с указателями на окна;

– File Share – объекты доступа к общим файлам и папкам;

– Filtering Platform Packet Drop – список утерянных пакетов;

– Filtering Platform Connection – список соединений;

– Other Object Access Events – другие объекты операционной системы.

• Policy Change – определяет аудит изменения настроек безопасности операционной системы. Например, таких настроек, как изменение доверительных отношений, политики Kerberos, файловой системы EFS и параметров работы протокола QpS. В нее входят следующие подкатегории:

– Authentication Policy Change – изменение политик аутентификации;

– Authorization Policy Change – смена политик авторизации;

– MPSSVC Rule-Level Policy Change – изменение политик MPSSVC;

– Filtering Platform Policy Change – смена политик фильтрации пакетов;

– Other Policy Change Events – изменение других политик;

– Audit Policy Change – смена политик аудита.

• DS Access – определяет аудит изменения объектов Active Directory и их свойств. Поскольку в Active Directory учетные записи пользователей и группы также считаются объектами, некоторые события аудита, заносимые в категорию Account Management, могут заноситься и в эту категорию. В нее входят следующие подкатегории:

– Directory Service Changes – события изменения служб каталога;

– Directory Service Replication – события репликации каталога;

– Detailed Directory Service Replication – расширенные сведения о событиях репликации каталога;

– Directory Service Access – события доступа к службам каталога.

• Logon /Logoff – определяет события аудита входа и выхода из системы, а также регистрации в ней. В отличие от категории Account Logon, которая также содержит информацию об аутентификации, Logon/Logoff хранит события, позволяющие определить протекание всего сеанса регистрации в операционной системе. В нее входят следующие подкатегории:

– Logoff – события выхода из системы;

– Account Lockout – события политики блокировки окна входа при неправильном введении пароля учетной записи;

– IPSec Main Mode – события использования основного режима IPSec;

– IPSec Quick Mode – события использования быстрого режима IPSec;

– IPSec Extended Mode – события использования расширенного режима IPSec;

– Special Logon – события специального входа в систему;

– Other Logon/Logoff Events – другие события данной категории;

– Logon – события входа в систему.

• Privilege Use – определяет аудит использования привилегий, предоставленных службе или пользователю. К данной категории относятся события, описывающие применение пользователем конкретной привилегии, а также описание этой привилегии (некоторые привилегии могут использоваться очень часто, поэтому они генерируют лишь событие при первом использовании). В нее входят следующие подкатегории:

– Non Sensitive Privilege Use – использование редко изменяемых привилегий;

– Other Privilege Use Events – применение других привилегий;

– Sensitive Privilege Use – использование часто изменяемых привилегий.

• Detailed Tracking – определяет категорию аудита отслеживания работы процессов и служб. Например, к данной категории относятся события создания служб и назначенных заданий, а также открытие и закрытие процессов. В нее входят следующие подкатегории: