Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

AD DS-Überwachung 261
4. Stellen Sie mit Ldp.exe eine Verbindung zum LDAP-Port des Snapshots her, den Sie
angegeben haben, als Sie den Snapshot im vorherigen Schritt als LDAP-Server verfügbar
gemacht haben.
5. Durchsuchen Sie den Snapshot wie jeden Online-DC. Sie können Dsamain beenden,
indem Sie im Eingabeaufforderungsfenster STRG+C drücken. Falls Sie den Befehl im
Remotezugriff ausführen, müssen Sie das stopservice-Attribut im rootDSE-Objekt
setzen.
Wenn Sie wissen, welche Organisationseinheiten oder Objekte gelöscht wurden, können Sie
die gelöschten Objekte in den Snapshots suchen und aufzeichnen, welche Attribute und
Rückwärtsverknüpfungen zu den gelöschten Objekten gehören. Dann erwecken Sie diese
Objekte mit dem »Tombstone«-Feature wieder zum Leben. Einzelheiten zu diesem Vorgang
finden Sie im Microsoft TechNet-Artikel »Reanimating Active Directory Tombstone Objects«
unter http://www.microsoft.com/technet/technetmag/issues/2007/09/Tombstones/
default.aspx.
Anschließend müssen Sie bei diesen Objekten von Hand die entfernten Attribute und Rückwärtsverknüpfungen
hinzufügen, wie sie in den Snapshots vorliegen. Auch wenn Sie die
entfernten Attribute und Rückwärtsverknüpfungen von Hand neu erstellen müssen, ermöglicht
es Ihnen das Active Directory-Datenbankbereitstellungstool, gelöschte Objekte und
ihre Rückwärtsverknüpfungen wiederherzustellen, ohne den DC in der Verzeichnisdienstwiederherstellung
neu zu starten. Das spart eine Menge Zeit, das kann ich Ihnen versichern!
Sie können das Tool auch verwenden, um bestimmte Aspekte vorheriger Konfigurationen
von AD DS nachzusehen, zum Beispiel eingestellte Berechtigungen. Das kann eine große
Hilfe sein, wenn Sie eine Wiederherstellung durchführen müssen. Dieses Feature ist auch
sehr nützlich, falls Ihr AD DS nicht mehr läuft und Sie wissen wollen, wie er konfiguriert
war, als er zuletzt funktionierte.
AD DS-Überwachung
Dieser Abschnitt behandelt ausschließlich die AD DS-Überwachung. Weitere Informationen
über die Überwachung in Windows finden Sie in Kapitel 8, »Überwachung«.
Meine Kunden haben oft nach einer Möglichkeit gesucht, alte und neue Werte zu protokollieren,
wenn eine Änderung durchgeführt wird. Sie können jetzt die AD DS-Überwachung
mit einer neuen Überwachungsrichtlinien-Unterkategorie namens Verzeichnisdienständerungen
(engl. directory service changes) einrichten. Dabei werden die bisherigen und neuen
Werte aufgezeichnet, wenn Änderungen an AD DS-Objekten und ihren Attributen vorgenommen
werden. Das hilft Ihnen bei forensischen Untersuchungen und wenn Sie die Ereignisse
verfolgen wollen, die vor einem Sicherheitsvorfall aufgetreten sind.
Hinweis Dieses neue Überwachungsfeature steht auch für AD LDS zur Verfügung.
Indem Sie die Systemzugriffssteuerungsliste (System Access Control List, SACL) eines
Objekts verändern, können Sie steuern, welche Operationen überwacht werden. Das liefert
Ihnen die Details, die Sie schon immer haben wollten. Falls Sie diese Richtlinieneinstellung
definieren, indem Sie die Standarddomänencontrollerrichtlinie entsprechend ändern, können
Sie festlegen, ob erfolgreiche Aktionen, fehlgeschlagene Aktionen oder gar keine Aktionen
überwacht werden. Bei der Erfolgsüberwachung wird ein Überwachungseintrag generiert,
wenn ein Benutzer erfolgreich auf ein Objekt zugreift, für das eine SACL definiert ist.