24、Windows Server 2008 审计策略与事件管理全解析

Windows Server 2008 审计策略与事件管理全解析

审计策略选项

在 Windows 系统中，有一些与审计策略相关的可选功能，你可以使用 AuditPol.exe 工具，或者通过本地或组策略模式下安全策略用户界面的“安全选项”部分来启用这些功能。

CrashOnAuditFail 设置

CrashOnAuditFail 是符合单级操作系统通用标准保护配置文件的必要设置。通用标准要求，当审计系统无法生成或存储安全事件时，合规系统必须能够立即停止所有可审计活动。在 Windows 中，当审计系统无法记录安全事件时，系统会以蓝屏的形式停止运行来实现这一要求。

当 CrashOnAuditFail 触发时，系统重启后只有管理员能够登录，直到安全事件日志被清除，并且导致故障的条件得到修复。不过，只有在绝对必要的情况下才使用此设置，因为它会将可能的抵赖攻击转变为确定的拒绝服务攻击。

CrashOnAuditFail 有三种状态：
- 该功能未启用。
- 该功能已启用，但系统尚未崩溃。
- 该功能已启用，由于审计系统故障导致系统崩溃，并且系统已重启。此时只有计算机管理员能够登录，在 CrashOnAuditFail 重新设置为启用或禁用且日志被清除之前，普通用户将无法登录。

FullPrivilegeAuditing 设置

如果通过审计策略启用了 FullPrivilegeAuditing