Аудит учетных записей пользователей — это комплекс мероприятий по настройке программного обеспечения, которое отслеживает изменения в каталоге Active Directory, вызванные активностью пользователей и администраторов, генерирует отчеты и оповещения.
Зачем нужен аудит учетных записей
Невозможно построить безопасную среду для эффективной и бесперебойной работы бизнес-процессов без непрерывного анализа удачных и неудачных изменений, которые вносят в информационную систему отдельные пользователи и администраторы. Бизнес развивается, увеличивается число пользователей и закономерно возникают сложности в отслеживании этих изменений из-за больших объемов данных.
Настройка в Active Directory аудита учетных записей пользователей и групп положительно влияет на защищенность корпоративных данных. Это, в свою очередь, отражается на конкурентоспособности компании и эффективности ведения бизнеса. Постоянно отслеживая изменения объектов, можно предотвратить кибератаки, а если они уже имели место — реально оценить нанесенные убытки.
Чтобы упростить задачу по отслеживанию изменений, настраивают параметры аудита учетных записей в рамках комплексного ИТ-аудита предприятия. Задача аудита локальных учетных записей заключается в том, чтобы отследить действия отдельных пользователей и администраторов сети. С этой целью их фиксируют в службе Active Directory, которая расположена на контроллерах домена.
Сведения об активных действиях заносятся в список управления доступом к объектам (SACL), который может быть привязан к файлам или другим объектам директории. В журнал попадают действия видов «успех» и «отказ» — то есть, когда разрешение было успешно использовано для выполнения действий и в действиях было отказано соответственно.
Категории базовых политик аудита ученых записей
- Входа в учетную запись;
- Управления учетной записью;
- Доступа к службе каталогов;
- Входа в систему;
- Доступа к объектам;
- Использования привилегий;
- Отслеживания процессов.
Полный перечень действий, попадающих под аудит, настраивают индивидуально – все зависит от того, о каких ресурсах идет речь. Чтобы включить аудит объектов Active Directory, следует настроить политику аудита для контроллеров домена, а затем — для конкретных объектов: отдельных файлов, каталогов, сетевых принтеров и т. п.
