Настройка политик аудита для журналов событий Windows

Чтобы улучшить обнаружение и собрать дополнительные сведения о действиях пользователей, таких как вход в NTLM и изменения групп безопасности, Microsoft Defender для удостоверений использует определенные записи в журналах событий Windows. Правильная настройка параметров расширенной политики аудита на контроллерах домена имеет решающее значение, чтобы избежать пробелов в журналах событий и неполного покрытия Defender для удостоверений.

В этой статье описывается настройка параметров расширенной политики аудита при необходимости для датчика Defender для удостоверений. В ней также описываются другие конфигурации для определенных типов событий.

Defender для удостоверений создает проблемы работоспособности для каждого из этих сценариев, если они обнаружены. Дополнительные сведения см. в статье о проблемах работоспособности Microsoft Defender для удостоверений.

Предварительные условия

• Перед выполнением команд PowerShell Defender для удостоверений убедитесь, что вы скачали модуль PowerShell Defender для удостоверений.

Создание отчета о текущих конфигурациях с помощью PowerShell

Перед созданием новых политик событий и аудита рекомендуется выполнить следующую команду PowerShell, чтобы создать отчет о текущих конфигурациях домена:

New-MDIConfigurationReport [-Path] <String> [-Mode] <String> [-OpenHtmlReport]

В предыдущей команде выполните следующие действия:

• Path указывает путь для сохранения отчетов.
• Mode указывает, нужно ли использовать Domain режим или LocalMachine . В Domain режиме параметры собираются из объектов групповая политика (GPO). В LocalMachine режиме параметры собираются с локального компьютера.
• OpenHtmlReport открывает HTML-отчет после создания отчета.

Например, чтобы создать отчет и открыть его в браузере по умолчанию, выполните следующую команду:

New-MDIConfigurationReport -Path "C:\Reports" -Mode Domain -OpenHtmlReport

Дополнительные сведения см. в справочнике по PowerShell для DefenderforIdentity.

Совет

Отчет о режиме Domain включает только конфигурации, заданные в качестве групповых политик в домене. Если параметры определены локально на контроллерах домена, рекомендуется также запустить скрипт Test-MdiReadiness.ps1 .

Настройка аудита для контроллеров домена

Обновите параметры расширенной политики аудита и дополнительные конфигурации для определенных событий и типов событий, таких как пользователи, группы, компьютеры и многое другое. Конфигурации аудита для контроллеров домена:

• Параметры расширенной политики аудита
• Аудит NTLM
• Аудит объектов домена

Дополнительные сведения см. в разделе Вопросы и ответы о расширенном аудите безопасности.

Используйте следующие процедуры, чтобы настроить аудит на контроллерах домена, которые вы используете с Defender для удостоверений.

Настройка параметров расширенной политики аудита в пользовательском интерфейсе

В этой процедуре описывается изменение параметров расширенной политики аудита контроллера домена при необходимости для Defender для удостоверений с помощью пользовательского интерфейса.

Связанная проблема со работоспособностью:Расширенный аудит служб каталогов не включен по мере необходимости

Чтобы настроить параметры расширенной политики аудита, выполните следующие действия.

1. Войдите на сервер с правами администратора домена.

2. Откройте Редактор управления групповая политика в диспетчер сервера>Tools>групповая политика Management.

3. Разверните узел Контроллеры домена Организационные единицы, щелкните правой кнопкой мыши пункт Политика контроллеров домена по умолчанию и выберите изменить.

   

   Примечание.

   Используйте политику контроллеров домена по умолчанию или выделенный объект групповой политики, чтобы задать эти политики.

4. В открывавшемся окне перейдите в разделПолитики>конфигурации>компьютера Параметры>Windows Параметры безопасности. В зависимости от политики, которую вы хотите включить, выполните следующие действия.

   1. Перейдите в раздел Расширенная политика аудита, конфигурация>политики аудита.

      

   2. В разделе Политики аудита измените каждую из следующих политик и выберите Настроить следующие события аудита для событий успешного и неудачного выполнения .

      Политика аудита	Подкатегория	Идентификаторы событий триггеров
      Вход в учетную запись	Проверка учетных данных аудита	4776
      Управление учетными записями	Аудит управления учетными записями компьютера*	4741, 4743
      Управление учетными записями	Аудит управления группами рассылки*	4753, 4763
      Управление учетными записями	Аудит управления группами безопасности*	4728, 4729, 4730, 4732, 4733, 4756, 4757, 4758
      Управление учетными записями	Аудит управления учетными записями пользователей	4726
      DS Access	Аудит изменений службы каталогов*	5136
      Система	Расширение системы безопасности аудита*	7045
      DS Access	Аудит доступа к службе каталогов	4662 — для этого события необходимо также настроить аудит объектов домена.

      Примечание.

      * Отмеченные подкатегории не поддерживают события сбоя. Однако мы рекомендуем добавлять их для аудита, если они будут реализованы в будущем. Дополнительные сведения см. в разделах Аудит управления учетными записями компьютера, Аудит управления группами безопасности и Аудит расширения системы безопасности.

      Например, чтобы настроить управление группами безопасности аудита, в разделе Управление учетными записями дважды щелкните Аудит управления группами безопасности, а затем выберите Настроить следующие события аудита для событий успешного и неудачного выполнения.

      

5. В командной строке с повышенными привилегиями введите gpupdate.

6. После применения политики через объект групповой политики убедитесь, что новые события отображаются в Просмотр событий в разделеБезопасностьжурналов> Windows.

Чтобы протестировать политики аудита из командной строки, выполните следующую команду:

auditpol.exe /get /category:*

Дополнительные сведения см. в справочной документации auditpol.

Настройка параметров расширенной политики аудита с помощью PowerShell

В следующих действиях описывается изменение параметров расширенной политики аудита контроллера домена при необходимости для Defender для удостоверений с помощью PowerShell.

Связанная проблема со работоспособностью:Расширенный аудит служб каталогов не включен по мере необходимости

Чтобы настроить параметры, выполните следующую команду:

Set-MDIConfiguration [-Mode] <String> [-Configuration] <String[]> [-CreateGpoDisabled] [-SkipGpoLink] [-Force]

В предыдущей команде выполните следующие действия:

• Mode указывает, нужно ли использовать Domain режим или LocalMachine . В Domain режиме параметры собираются из объектов групповая политика. В LocalMachine режиме параметры собираются с локального компьютера.
• Configuration указывает, какую конфигурацию следует задать. Используйте All для задания всех конфигураций.
• CreateGpoDisabled указывает, создаются ли объекты групповой политики и хранятся как отключенные.
• SkipGpoLink указывает, что ссылки на объект групповой политики не создаются.
• Force указывает, что конфигурация задана или объекты групповой политики создаются без проверки текущего состояния.

Чтобы просмотреть политики аудита, используйте Get-MDIConfiguration команду для отображения текущих значений:

Get-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>

В предыдущей команде выполните следующие действия:

• Mode указывает, нужно ли использовать Domain режим или LocalMachine . В Domain режиме параметры собираются из объектов групповая политика. В LocalMachine режиме параметры собираются с локального компьютера.
• Configuration указывает, какую конфигурацию следует получить. Используйте All для получения всех конфигураций.

Чтобы протестировать политики аудита, используйте Test-MDIConfiguration команду , чтобы получить true ответ или false о том, правильно ли настроены значения:

Test-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>

В предыдущей команде выполните следующие действия:

• Mode указывает, нужно ли использовать Domain режим или LocalMachine . В Domain режиме параметры собираются из объектов групповая политика. В LocalMachine режиме параметры собираются с локального компьютера.
• Configuration указывает, какую конфигурацию следует тестировать. Используйте All для тестирования всех конфигураций.

Дополнительные сведения см. в следующих справочниках По PowerShell для DefenderForIdentity:

• Set-MDIConfiguration
• Get-MDIConfiguration
• Test-MDIConfiguration

Настройка аудита NTLM

В этом разделе описываются дополнительные действия по настройке, необходимые для аудита события Windows 8004.

Примечание.

• Политики групп домена для сбора событий Windows 8004 должны применяться только к контроллерам домена.
• Когда датчик Defender для удостоверений анализирует событие Windows 8004, действия проверки подлинности NTLM Defender для удостоверений обогащаются данными, к которым обращается сервер.

Связанная проблема с работоспособностью:аудит NTLM не включен

Чтобы настроить аудит NTLM, выполните следующие действия.

1. После настройки первоначальных параметров расширенной политики аудита (с помощью пользовательского интерфейса или PowerShell) откройте групповая политика Management. Затем перейдите в разделПараметры безопасностилокальных политик> политики >контроллеров домена по умолчанию.

2. Настройте указанные политики безопасности следующим образом:

   Параметр политики безопасности	Значение
   Сетевая безопасность: ограничение NTLM: исходящий трафик NTLM на удаленные серверы	Аудит всех
   Сетевая безопасность: ограничение NTLM: аудит проверки подлинности NTLM в этом домене	Включить все
   Сетевая безопасность: ограничение NTLM: аудит входящего трафика NTLM	Включение аудита для всех учетных записей

Например, чтобы настроить исходящий трафик NTLM к удаленным серверам, в разделе Параметры безопасности дважды щелкните Пункт Безопасность сети: ограничение NTLM: исходящий трафик NTLM для удаленных серверов, а затем выберите Аудит всех.

Настройка аудита объектов домена

Чтобы собирать события изменения объекта, например для события 4662, необходимо также настроить аудит объектов для пользователя, группы, компьютера и других объектов. В следующей процедуре описывается включение аудита в домене Active Directory.

Важно!

Перед включением сбора событий проверьте и проверьте политики (с помощью пользовательского интерфейса или PowerShell), чтобы убедиться, что контроллеры домена правильно настроены для записи необходимых событий. Если этот аудит настроен правильно, он должен иметь минимальное влияние на производительность сервера.

Связанная проблема с работоспособностью:Аудит объектов служб каталогов не включен по мере необходимости

Чтобы настроить аудит объектов домена, выполните следующие действия.

1. Перейдите в консоль Пользователи и компьютеры Active Directory.

2. Выберите домен, который требуется выполнить аудит.

3. Выберите меню Вид , а затем — Дополнительные функции.

4. Щелкните правой кнопкой мыши домен и выберите Свойства.

   

5. Перейдите на вкладку Безопасность и выберите Дополнительно.

   

6. В разделе Дополнительные параметры безопасности перейдите на вкладку Аудит и нажмите кнопку Добавить.

   

7. Выберите Выбрать субъект.

   

8. В разделе Введите имя выбранного объекта введите Все. Затем нажмите кнопку Проверить имена>ОК.

   

9. Затем вы вернеесь к записи аудита. Сделайте следующее:

   1. В поле Тип выберите Успешно.

   2. Для параметра Применимо к выберите Объекты-потомки пользователей.

   3. В разделе Разрешения прокрутите вниз и нажмите кнопку Очистить все .

      

   4. Прокрутите резервную копию вверх и выберите Полный доступ. Выбраны все разрешения.

   5. Снимите флажки для разрешений "Список", "Чтение всех свойств" и " Чтение разрешений ", а затем нажмите кнопку ОК. На этом шаге для всех параметров свойств будет задано значение Запись.

      

      Теперь все соответствующие изменения в службах каталогов отображаются как события 4662 при их активации.

10. Повторите действия, описанные в этой процедуре, но для параметра Применимо к выберите следующие типы объектов:

    • Объекты-потомки групп
    • Дочерние объекты-компьютеры
    • Потомки объектов msDS-GroupManagedServiceAccount
    • Потомки объектов msDS-ManagedServiceAccount

Примечание.

Назначение разрешений на аудит для всех объектов-потомков также будет работать, но вам потребуются только типы объектов, описанные на последнем шаге.

Настройка аудита в AD FS

Связанная проблема со работоспособностью:Аудит в контейнере AD FS не включен по мере необходимости

Чтобы настроить аудит в службы федерации Active Directory (AD FS) (AD FS), выполните следующие действия.

1. Перейдите в консоль Пользователи и компьютеры Active Directory и выберите домен, в котором нужно включить журналы.

2. Перейдите в раздел Программные данные>Microsoft>ADFS.

   

3. Щелкните правой кнопкой мыши ADFS и выберите Свойства.

4. Перейдите на вкладку Безопасность и выберите Дополнительные>параметры безопасности. Затем перейдите на вкладку Аудит и выберите Добавить>Выберите субъект.

5. В разделе Введите имя выбранного объекта введите Все. Затем нажмите кнопку Проверить имена>ОК.

6. Затем вы вернеесь к записи аудита. Сделайте следующее:

   • В поле Тип выберите Все.
   • Для параметра Область применения выберите Этот объект и все объекты-потомки.
   • В разделе Разрешения прокрутите вниз и выберите Очистить все. Прокрутите вверх и выберите Прочитать все свойства и Записать все свойства.

   

7. Нажмите OK.

Настройка подробного ведения журнала для событий AD FS

Датчики, работающие на серверах AD FS, должны иметь уровень аудита , равный Подробный для соответствующих событий. Например, используйте следующую команду, чтобы настроить уровень аудита на значение Verbose:

Set-AdfsProperties -AuditLevel Verbose

Настройка аудита в AD CS

Если вы работаете с выделенным сервером с настроенными службами сертификатов Active Directory (AD CS), настройте аудит следующим образом, чтобы просмотреть выделенные оповещения и отчеты оценки безопасности:

1. Создайте групповую политику для применения к серверу AD CS. Измените его и настройте следующие параметры аудита:

   1. Перейдите в раздел Конфигурация компьютера\Политики\Параметры Windows\Параметры безопасности\Расширенная конфигурация политики аудита\Политики аудита\Доступ к объектам\Службы сертификации аудита.

   2. Установите флажки, чтобы настроить события аудита для успешного и неудачного выполнения.

      

2. Настройте аудит в центре сертификации (ЦС) с помощью одного из следующих методов:

   • Чтобы настроить аудит ЦС с помощью командной строки, выполните следующую команду:

     certutil –setreg CA\AuditFilter 127 
     
     
     net stop certsvc && net start certsvc
     

   • Чтобы настроить аудит ЦС с помощью графического интерфейса, выполните следующие действия:

     1. Выберите Запустить>центр сертификации (классическое приложение MMC). Щелкните правой кнопкой мыши имя ЦС и выберите Свойства.

        

     2. Перейдите на вкладку Аудит , выберите все события, которые требуется выполнить аудит, а затем нажмите кнопку Применить.

        

Примечание.

Настройка аудита событий запуска и остановки служб сертификатов Active Directory может привести к задержкам перезапуска при работе с большой базой данных AD CS. Рассмотрите возможность удаления ненужных записей из базы данных. Кроме того, воздержитесь от включения этого конкретного типа событий.

Настройка аудита в Microsoft Entra Connect

Чтобы настроить аудит на серверах Microsoft Entra Connect, выполните следующие действия.

• Создайте групповую политику для применения к серверам Microsoft Entra Connect. Измените его и настройте следующие параметры аудита:

  1. Перейдите в раздел Конфигурация компьютера\Политики\Параметры Windows\Параметры безопасности\Расширенная конфигурация политики аудита\Политики аудита\Вход/Выход\Аудит входа.

  2. Установите флажки, чтобы настроить события аудита для успешного и неудачного выполнения.

Настройка аудита в контейнере конфигурации

Примечание.

Аудит контейнера конфигурации повторно создается только для сред, в которых в настоящее время или ранее был Microsoft Exchange, так как в этих средах контейнер Exchange находится в разделе Конфигурация домена.

Связанная проблема со работоспособностью:Аудит контейнера конфигурации не включен, как требуется

1. Откройте средство редактирования ADSI. Выберите Запустить>запуск, введите ADSIEdit.msc, а затем нажмите кнопку ОК.

2. В меню Действие выберите Подключиться к.

3. В диалоговом окне Параметры подключения в разделе Выбор известного контекста именования выберите Конфигурация>ОК.

4. Разверните контейнер Конфигурация , чтобы отобразить узел Конфигурация , который начинается с "CN=Configuration,DC=...".

5. Щелкните правой кнопкой мыши узел Конфигурация и выберите Свойства.

   

6. Перейдите на вкладку Безопасность и выберите Дополнительно.

7. В разделе Дополнительные параметры безопасности перейдите на вкладку Аудит и нажмите кнопку Добавить.

8. Выберите Выбрать субъект.

9. В разделе Введите имя выбранного объекта введите Все. Затем нажмите кнопку Проверить имена>ОК.

10. Затем вы вернеесь к записи аудита. Сделайте следующее:

    • В поле Тип выберите Все.
    • Для параметра Область применения выберите Этот объект и все объекты-потомки.
    • В разделе Разрешения прокрутите вниз и выберите Очистить все. Прокрутите вверх и выберите Записать все свойства.

    

11. Нажмите OK.

Обновление устаревших конфигураций

Defender для удостоверений больше не требует ведения журнала событий 1644. Если вы включили один из следующих параметров, их можно удалить из реестра.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics]
"15 Field Engineering"=dword:00000005

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters]
"Expensive Search Results Threshold"=dword:00000001
"Inefficient Search Results Threshold"=dword:00000001
"Search Time Threshold (msecs)"=dword:00000001

Связанные материалы

Дополнительные сведения см. в разделе:

• Коллекция событий с Microsoft Defender для удостоверений
• Аудит безопасности Windows
• Расширенные политики аудита безопасности

Следующее действие

Что такое роли и разрешения Defender для удостоверений?