Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

K A P I T E L 8
Überwachung
Von Eric Fitzgerald
In diesem Kapitel:
Wozu überwachen? . ................................................. 218
So funktioniert die Windows-Überwachung .................................. 218
Festlegen einer Überwachungsrichtlinie .................................... 221
Entwerfen einer guten Überwachungsrichtlinie . ............................... 229
Neue Ereignisse in Windows Server 2008 . .................................. 230
Analysieren von Ereignissen mit den eingebauten Tools ......................... 236
Zusammenfassung .................................................. 242
Im Bereich der Computersicherheit bedeutet der Begriff Überwachung (engl. auditing)
meist, dass etwas mit einem Standard oder Grundwert verglichen wird (»die Wirksamkeit
der Sicherheitskontrollen in der Organisation überwachen«), oder dass sicherheitsrelevante
Ereignisse aufgezeichnet werden (»Überwachungsliste«). In diesem Kapitel verwenden wir
Überwachung im zweiten Sinn, es wird also etwas aufgezeichnet.
Seit der Einführung von Windows NT ist das Sicherheitsereignisprotokoll oft eine Quelle
der Frustration für Windows Server-Administratoren. Das Sicherheitsereignisprotokoll enthält
zwar viele Informationen darüber, welche Sicherheitsentscheidungen Windows trifft
und welche kritischen System- und Benutzeraktivitäten sich auf die Systemsicherheit auswirken
können, aber da sich Überwachungsrichtlinien nicht fein genug steuern ließen, entstanden
riesige Mengen an Protokolleinträgen. Auch lieferten die Auswahl der Ereignisse,
die Microsoft überwachte, und die Informationen, die in diesen Ereignisprotokollen angezeigt
wurden, nicht immer die Antworten, die Administratoren wirklich brauchten.
In Windows Server 2008 wurde das Überwachungssubsystem in etlichen Punkten verbessert,
sodass es für Administratoren viel nützlicher geworden ist. Überwachungsrichtlinien
wurden erweitert, sodass es viel einfacher ist, genau die Ereignisse auszuwählen, für die Sie
sich interessieren. Das Format von Überwachungsereigniseinträgen und ihr Inhalt wurden
verbessert, sodass es Ihnen leichter fallen wird, die Ereignisse im Sicherheitsprotokoll zu
verstehen. Viel mehr Ereignisse lösen die Protokollierung von Überwachungsereignissen
aus. Und schließlich beseitigen Verbesserungen am Ereignissubsystem und den zugehörigen
Tools viele Skalierbarkeits-, Leistungs- und Analyseprobleme, mit denen Sie früher zu
kämpfen hatten.
217