73、活动目录审计与组策略实施指南

活动目录审计与组策略实施指南

1. 活动目录审计概述

• 已审计事件 ：通常，域控制器会对大多数成功的主要事件进行审计并记录，如用户创建、密码重置、用户登录域以及获取登录脚本等活动都会被记录在案。
• 未审计事件 ：有两大类事件通常不会被记录，分别是失败事件和对象特定属性的更改。

2. 考虑审计失败事件

基于组织的 IT 安全策略和需求，可能需要实施失败审计，具体如下：
|审计类型|作用|
| ---- | ---- |
|失败账户登录事件审计|可揭露恶意尝试，即攻击者在未获取账户密码的情况下反复尝试以域用户账户登录域的行为。|
|失败账户管理事件审计|能够发现有人试图操纵对安全敏感组的成员资格。|

3. 协调审计策略、公司政策和实际情况

要平衡并使活动目录的审计策略设置与公司政策和实际情况保持一致，这是一项关键任务。公司政策可能规定要审计所有失败的登录以及对活动目录用户和组的成功更改，在活动目录中实现这一点并不困难，但关键在于如何有效利用这些审计信息。如果没有合适的方法或工具来管理详细的审计日志，那么这些日志就毫无用处。

4. 审计活动目录对象的更改

• 未审计的更改类型 ：活动目录对象或其特定属性的更改通常不在默认审计范围内，例如组的成员资格更改。
• 审计条件 ：要审计活动目录对象的更改，需要满足两个条件：一是启用审计策略