Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Entwerfen einer guten Überwachungsrichtlinie 229
zu delegieren. Dieser Mechanismus ist in Form einer ACL direkt in den Überwachungsrichtlinien
implementiert.
In der Standardeinstellung hat nur VORDEFINIERT\Administratoren das Recht, Überwachungsrichtlinien
einzustellen und anzusehen. Das bedeutet, dass sich der Standardzugriff
auf Überwachungsrichtlinien gegenüber älteren Versionen nicht verändert hat.
Sie können die Überwachungsrichtlinien-ACL mithilfe des Befehlszeilentools Audit-
Pol.exe anpassen. Falls die ACL versehentlich falsch konfiguriert wird, kann sie mit
AuditPol.exe von jedem Benutzer zurückgesetzt werden, der das Privileg SeSecurity-
Privilege besitzt.
Entwerfen einer guten Überwachungsrichtlinie
Sie können das Überwachungsfeature wirksam nutzen, wenn Sie eine Überwachungsrichtlinie
entwickeln, die einerseits die Ereignisse generiert, für die Sie sich interessieren, und
andererseits so wenig Ereignisse erzeugt, dass Sie die entstehenden Protokolle mit vertretbaren
Aufwand verwalten können.
Viele Administratoren, die das Feature vorher noch nicht genutzt haben, aktivieren erst einmal
sämtliche Überwachungsrichtlinien. Nach kurzer Zeit stellen sie dann entsetzt fest, dass
eine Unmenge von Ereignissen generiert wird.
Wie bei jeder anderen Form von Sicherheitsrichtlinie erreichen Sie die effektivsten Ergebnisse,
wenn Sie analysieren, welche Sicherheitsbedrohungen Sie am meisten betreffen, und
geeignete Richtlinieneinstellungen bereitstellen, um diese Bedrohungen abzuwehren.
Die Versuchung ist groß, bei der Auswahl von Überwachungsrichtlinieneinstellungen genauso
vorzugehen wie beim Blättern in einem Versandhauskatalog oder in der Speisekarte eines
Restaurants. Viele der Einstellungen sehen gut aus, und nichts hindert Sie daran, alle auszuwählen.
Aber wie bereits erwähnt, kann Windows vermutlich viel mehr Überwachungsdaten
generieren, als Sie auswerten können. Indem Sie sorgfältig genau die Ereignisse auswählen,
die Ihre Sicherheitsgefahren abdecken, erzielen Sie letztlich wahrscheinlich viel bessere
Ergebnisse.
Auf der Begleit-CD zu diesem Buch finden Sie Dateien, mit denen Sie Überwachungsereignisse
den Kategorien und Unterkategorien von Überwachungsrichtlinien zuordnen können,
die diese Ereignisse ausgelöst haben. Sie können diese Daten zur Unterstützung bei der
Planung Ihrer eigenen Überwachungsrichtlinieneinstellungen nutzen.
Sobald Sie Ihre Überwachungsrichtlinien ausgewählt haben, sollten Sie sie auf einer kleinen
Zahl von Produktivcomputern hosten und prüfen, wie groß die entstehenden Sicherheitsprotokolle
werden. Sollten Sie feststellen, dass die Datenmenge für Ihren Geschmack zu groß
ist, sollten Sie versuchen, weniger aggressive Überwachungseinstellungen zu verwenden.
Die Ereignisanzeige ist ein sehr nützliches Tool in Windows Server 2008, wenn Sie genau
feststellen wollen, welche Richtlinieneinstellungen die meisten aufgezeichneten Überwachungsereignisse
verursachen. Im Hauptfenster der Ereignisanzeige können Sie Ereignisse
anhand von Aufgabenkategorie (dasselbe wie Unterkategorie), Ereignisquelle, Ereignis-ID
und anderen Attributen gruppieren, woraufhin Sie angezeigt bekommen, wie viele Einträge
jede Gruppe enthält (Abbildung 8.9). Falls Sie ein Ereignis finden, das sehr viele Einträge
verursacht, sollten Sie sich einige Einzelereignisse ansehen und prüfen, ob das Ereignis