Ereignisprotokoll und Sicherheitsrichtlinien besser konfigurieren und steuern

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Microsoft Deutschland GmbH

Richtlinien besser über Befehlszeile konfigurieren

Grundsätzlich können Überwachungsrichtlinien mit zwei Tools konfiguriert werden: In der Konsole des Sicherheitsrichtlinieneditors bzw. des Gruppenrichtlinien-Editor und mit dem Befehlszeilentool AuditPol.exe.

Jedoch unterstützt nur das das Befehlszeilentool AuditPol.exe die neue GAP-Funktion. Microsoft hat die grafische Benutzeroberfläche für Überwachungsrichtlinien noch nicht so aktualisiert, dass damit Überwachungsrichtlinien-Unterkategorien verwaltet werden können.

Die Syntax von AuditPol.exe zeigt Bild 2 der Bildergalerie. Um beispielsweise die GAP-Unterkategorien auf einem Windows Server 2008-System aufzulisten, ist der folgende Befehl zu verwenden:

auditpol /list /subcategory:*

Anzeige in der grafischen Oberfläche verwirrend

Da die grafischen Tools zur Gruppenrichtlinienverwaltung GAP nicht unterstützen, können diese auch nicht zur Anzeige der effektiven Überwachungsrichtlinien-Einstellungen verwendet werden. Sind beispielsweise nur einige der Unterkategorien einer Hauptkategorie aktiviert, andere aber nicht, wird hier die gesamte Kategorie als deaktiviert dargestellt. Wird GAP verwendet, muss daher auch für die Richtlinienanalyse das Befehlszeilentool AuditPol.exe verwendet werden. Ein Beispiel hierfür zeigt Bild 3 in der Bildergalerie.

GAP nur für lokale Systeme anwendbar

Überwachungsrichtlinien sollen steuern, welche Ereignisse generiert und in den Überwachungsprotokollen gespeichert werden. Die meisten Windows-Systeme erhalten ihre Überwachungsrichtlinien per Gruppenrichtlinie aus der Domäne.

Dort aber wird GAP nicht unterstützt. Das bedeutet, dass zwar lokal umfangreiche Überwachungsrichtlinien für die Windows Server 2008-Systeme konfiguriert werden können, aber sobald der Server einer Domäne hinzugefügt wird, werden die neuen Überwachungsrichtlinien durch alte Überwachungsrichtlinieneinstellungen aus den Gruppenrichtlinie überschrieben.

Glücklicherweise stellt Microsoft einen Mechanismus zur Verfügung, der verhindert, dass alte, über Gruppenrichtlinien verteilte Überwachungsrichtlinien GAP überschreiben.

Mithilfe des Registrierungswertes SCENoConfigLegacyAuditPolicy kann gesteuert werden, ob das Sicherheitskonfigurationsmodul die „alten“ Überwachungsrichtlinien anwendet. Dies ist der Fall wenn der Registrierungswert vorhanden ist und einen Wert ungleich 0 hat. Weitere Hinweise zu dieser Thematik liefert der Microsoft Knowledge Base Artikel 921468.

Alternativ ist es möglich mittels einer Gruppenrichtlinie festzulegen (Bild 4), dass alle Windows-Vista- und Server-2008-Computer alte Überwachungsrichtlinien ignorieren und die neue GAP-Funktion verwenden sollen.

Fazit

Neben der neuen Möglichkeit bei der Verwaltung von Ereignisprotokollen, bietet Windows Server 2008 auch bessere Steuerungsmöglichkeiten um festzulegen, welche Ereignisse im Ereignisprotokoll aufgezeichnet werden. Dies erfolgt mithilfe der neuen Funktion Granular Audit Policy.

Dass die neuen Funktionen aber noch nicht von den grafischen Verwaltungswerkzeugen unterstützt werden, ist nur eine Einschränkung. Eine vollständige Integration ist wohl erst in späteren Versionen zu erwarten. Trotzdem verdienen die Kategorieeinstellungen für die Überwachungsrichtlinien bereits heute Beachtung.

(ID:2018092)