Microsoft windows security auditing как отключить

Аудит управления учетными записями Audit account management

Область применения Applies to

Определяет, нужно ли проводить аудит каждого события управления учетными записями на устройстве. Determines whether to audit each event of account management on a device.

Ниже приведены примеры событий управления учетными записями. Examples of account management events include:

• Создание, изменение или удаление учетной записи пользователя или группы. A user account or group is created, changed, or deleted.
• Переименование, отключение или включение учетной записи пользователя. A user account is renamed, disabled, or enabled.
• Установка или изменение пароля. A password is set or changed.

Если вы определяете этот параметр политики, вы можете указать, следует ли проводить аудит успехов, аудит отказов или вообще не проводить аудит для типа события. If you define this policy setting, you can specify whether to audit successes, audit failures, or not audit the event type at all. Аудит успехов создает запись аудита при успешном завершении любого события управления учетными записями. Success audits generate an audit entry when any account management event succeeds. Аудит отказов приводит к созданию записи аудита при сбое одного из событий управления учетными записями. Failure audits generate an audit entry when any account management event fails. Чтобы отключить аудит, в диалоговом окне свойства для этого параметра политики установите флажок определить следующие параметры политики и снимите флажки успех и отказ . To set this value to No auditing, in the Properties dialog box for this policy setting, select the Define these policy settings check box and clear the Success and Failure check boxes.

По умолчанию Default:

• Успех на контроллерах домена. Success on domain controllers.
• Без аудита на рядовых серверах. No auditing on member servers.

Настройка этого параметра аудита Configure this audit setting

Вы можете настроить этот параметр безопасности, открыв соответствующую политику в разделе Computer Конфигуратион\виндовс Сеттингс\секурити Сеттингс\локал ПолиЦиес\аудит. You can configure this security setting by opening the appropriate policy under Computer Configuration\Windows Settings\Security Settings\Local Policies\Audit Policy.

Источник

Управление журналом аудита и безопасности Manage auditing and security log

Область применения Applies to

В этой статье описаны рекомендации, расположение, значения, Управление политиками и параметры безопасности для политики безопасности » Управление аудитом и журналом безопасности «. Describes the best practices, location, values, policy management, and security considerations for the Manage auditing and security log security policy setting.

Справочные материалы Reference

Этот параметр политики определяет, какие пользователи могут задавать параметры аудита доступа к объектам для отдельных ресурсов, таких как файлы, объекты Active Directory и разделы реестра. This policy setting determines which users can specify object access audit options for individual resources such as files, Active Directory objects, and registry keys. Эти объекты определяют системные списки управления доступом (SACL). These objects specify their system access control lists (SACL). Пользователь, которому назначено это право пользователя, может также просматривать и очищать журнал безопасности в средстве просмотра событий. A user who is assigned this user right can also view and clear the Security log in Event Viewer. Дополнительные сведения о политике аудита доступа к объектам можно найти в статье Аудит доступа к объектам. For more info about the Object Access audit policy, see Audit object access.

Константа: SeSecurityPrivilege Constant: SeSecurityPrivilege

Возможные значения Possible values

• Определяемый пользователей список учетных записей User-defined list of accounts
• Администраторы Administrators
• Не определено Not Defined

Рекомендации Best practices

1. Прежде чем удалять это право из группы, проверьте, зависит ли приложение от этого права. Before removing this right from a group, investigate whether applications are dependent on this right.
2. Как правило, назначение этого права для групп, Кроме администраторов, не является обязательным. Generally, assigning this user right to groups other than Administrators is not necessary.

Location Location

Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment

Значения по умолчанию Default values

По умолчанию этот параметр является администратором на контроллерах домена и на отдельных серверах. By default this setting is Administrators on domain controllers and on stand-alone servers.

В приведенной ниже таблице перечислены фактические и действующие значения политики по умолчанию для самых последних поддерживаемых версий Windows. The following table lists the actual and effective default policy values for the most recent supported versions of Windows. Значения по умолчанию также можно найти на странице свойств политики. Default values are also listed on the policy’s property page.

Управление политикой Policy management

В этом разделе описаны компоненты, средства и рекомендации, которые помогут в управлении этой политикой. This section describes features, tools, and guidance to help you manage this policy.

Для активации этого параметра политики не требуется перезагрузка компьютера. A restart of the computer is not required for this policy setting to be effective.

Изменения прав пользователя вступают в силу при его следующем входе в учетную запись. Any change to the user rights assignment for an account becomes effective the next time the owner of the account logs on.

Аудит для доступа к объектам не выполняется до тех пор, пока вы не включите их с помощью редактора локальных групповых политик, консоли управления групповыми политиками (GPMC) или средства командной строки Auditpol. Audits for object access are not performed unless you enable them by using the Local Group Policy Editor, the Group Policy Management Console (GPMC), or the Auditpol command-line tool.

Дополнительные сведения о политике аудита доступа к объектам можно найти в разделе Аудит доступа к объектам. For more information about the Object Access audit policy, see Audit object access.

Групповая политика Group Policy

Параметры применяются в указанном ниже порядке с помощью объекта групповой политики (GPO), который будет перезаписывать параметры на локальном компьютере при следующем обновлении групповой политики: Settings are applied in the following order through a Group Policy Object (GPO), which will overwrite settings on the local computer at the next Group Policy update:

1. Параметры локальной политики Local policy settings
2. Параметры политики сайта Site policy settings
3. Параметры политики домена Domain policy settings
4. Параметры политики подразделения OU policy settings

Если локальная настройка недоступна, это указывает на то, что объект GPO, который в настоящее время управляет этим параметром. When a local setting is greyed out, it indicates that a GPO currently controls that setting.

Вопросы безопасности Security considerations

В этом разделе описывается, каким образом злоумышленник может использовать компонент или его конфигурацию, как реализовать меры противодействия, а также рассматриваются возможные отрицательные последствия их реализации. This section describes how an attacker might exploit a feature or its configuration, how to implement the countermeasure, and the possible negative consequences of countermeasure implementation.

Уязвимость Vulnerability

Любой пользователь, имеющий право управления аудитом и журналом безопасности , может очистить журнал безопасности, чтобы стереть важные доказательства о несанкционированном действии. Anyone with the Manage auditing and security log user right can clear the Security log to erase important evidence of unauthorized activity.

Противодействие Countermeasure

Убедитесь в том, что только локальная группа администраторов имеет право пользователя Управление аудитом и журналом безопасности . Ensure that only the local Administrators group has the Manage auditing and security log user right.

Возможное влияние Potential impact

Настройка по умолчанию для ограничения прав пользователя на Управление аудитом и журналом безопасности для локальной группы администраторов. Restricting the Manage auditing and security log user right to the local Administrators group is the default configuration.

Предупреждение. если этому пользователю назначены группы, кроме локальных администраторов, удаление этого права может привести к проблемам с производительностью в других приложениях. Warning: If groups other than the local Administrators group have been assigned this user right, removing this user right might cause performance issues with other applications. Прежде чем удалять это право из группы, проверьте, зависит ли приложение от этого права. Before removing this right from a group, investigate whether applications are dependent on this right.

Источник

Аудит события входа Audit logon events

Область применения Applies to

Определяет, нужно ли проводить аудит каждого экземпляра пользователя, который входит в систему или выходит из него с устройства. Determines whether to audit each instance of a user logging on to or logging off from a device.

События входа в учетную запись создаются на контроллерах домена для работы с учетной записью домена и на локальных устройствах для локальных действий с учетными записями. Account logon events are generated on domain controllers for domain account activity and on local devices for local account activity. Если включены обе категории политики аудита входа и входа в систему, при входе в систему с учетной записью домена генерируется событие входа в систему или выхода из нее на компьютере или сервере, которое создает событие входа в учетную запись на контроллере домена. If both account logon and logon audit policy categories are enabled, logons that use a domain account generate a logon or logoff event on the workstation or server, and they generate an account logon event on the domain controller. Кроме того, интерактивный вход на рядовой сервер или рабочую станцию, использующую учетную запись домена, создает событие входа в систему на контроллере домена, так как сценарии входа и политики извлекаются при входе пользователя в систему. Additionally, interactive logons to a member server or workstation that use a domain account generate a logon event on the domain controller as the logon scripts and policies are retrieved when a user logs on. Дополнительные сведения о событиях входа в учетную запись можно найти в статье Аудит событий входа в систему. For more info about account logon events, see Audit account logon events.

Если вы определяете этот параметр политики, вы можете указать, следует ли проводить аудит успехов, аудит отказов или вообще не проводить аудит для типа события. If you define this policy setting, you can specify whether to audit successes, audit failures, or not audit the event type at all. Аудит успехов приводит к созданию записи аудита при успешном попытке входа. Success audits generate an audit entry when a logon attempt succeeds. Аудит отказов приводит к созданию записи аудита при неудачной попытке входа. Failure audits generate an audit entry when a logon attempt fails.

Чтобы отключить аудит, в диалоговом окне свойства для этого параметра политики установите флажок определить следующие параметры политики и снимите флажки успех и отказ . To set this value to No auditing, in the Properties dialog box for this policy setting, select the Define these policy settings check box and clear the Success and Failure check boxes.

Дополнительные сведения о параметрах политики безопасности для входа в систему можно найти в разделе Вход в систему и выход из нее на странице Дополнительные параметры политики аудита безопасности. For information about advanced security policy settings for logon events, see the Logon/logoff section in Advanced security audit policy settings.

Настройка этого параметра аудита Configure this audit setting

Вы можете настроить этот параметр безопасности, открыв соответствующую политику в разделе Computer Конфигуратион\виндовс Сеттингс\секурити Сеттингс\локал ПолиЦиес\аудит. You can configure this security setting by opening the appropriate policy under Computer Configuration\Windows Settings\Security Settings\Local Policies\Audit Policy.

Когда регистрируется событие 528, в журнале событий также указывается тип входа в систему. When event 528 is logged, a logon type is also listed in the event log. В таблице ниже описаны все типы входов. The following table describes each logon type.

Источник