Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

264 Kapitel 9: Optimieren der Active Directory-Domänendienste für Sicherheit
Alle Veränderungen, die in der Datenbank auftreten, werden als eigene Ereignisse aufgezeichnet,
sobald etwas in die Datenbank geschrieben wird. Meine Änderung umfasst in
Wirklichkeit zwei Schritte. Erst wird das Attribut gelöscht, und das nächste Ereignis zeigt,
dass ein Wert hinzugefügt wurde.
Aber falls Sie zum Beispiel einen Benutzer von einer Organisationseinheit in eine andere
verschieben, zeigt das Ereignis sowohl den alten als auch den neuen Wert:
Ein Verzeichnisdienstobjekt wurde verschoben.
Antragsteller:
Sicherheits-ID: SECRESKIT08\Administrator
Kontoname: Administrator
Kontodomäne: SECRESKIT08
Anmelde-ID: 0x438594
Verzeichnisdienst:
Name: secreskit08.prv
Typ: Active Directory-Domänendienste
Objekt:
Alter DN: CN=Jimmy Andersson,OU=AuditPolicyExample,DC=secreskit08,DC=prv
Neuer DN: CN=Jimmy Andersson,OU=Test,DC=secreskit08,DC=prv
GUID: CN=Jim Andersson,OU=AuditPolicy,DC=secreskit08,DC=prv
Klasse: user
Vorgang:
Korrelations-ID: {d8ed2341-aaa1-4d3c-9485-67a69de53622}
Anwendungskorrelations-ID: -
Dies war das Verhalten in Windows Server 2008 RC1. Ich weiß nicht, ob dies in der endgültigen
Version ebenfalls so ist oder ob Microsoft bei allen Änderungsarten die alten und
neuen Attribute einträgt, wie im obigen Beispiel beim Verschieben eines Benutzers.
Falls Sie das neue Überwachungsfeature nutzen wollen, sollten Sie die Steuermöglichkeiten
verwenden, die ich in den nächsten Abschnitten beschreibe. Ich empfehle, dass Sie alle Objekte
genau überwachen, die Sie in Ihrer AD DS-Implementierung als kritisch einstufen. Auf
diese Weise können Sie alle Änderungen verfolgen und die Ursache von Sicherheits- und
anderen Problemen ermitteln, die zum Beispiel durch Veränderungen oder Löschaktionen
ausgelöst werden. Sie sollten außerdem alle Veränderungen an privilegierten Konten und
Gruppen genau beobachten.
Globale Überwachungsrichtlinien
Wenn Sie alle Unterkategorien für die Verzeichnisdienstrichtlinien aktivieren wollen, können
Sie einfach die globale Überwachungsrichtlinie Verzeichnisdienstzugriff überwachen
aktivieren. Sie stellen diese globale Überwachungsrichtlinie in der Standarddomänencontrollerrichtlinie
unter Sicherheitseinstellungen\Lokale Richtlinien\Überwachungsrichtlinie ein.
Die zwei Überwachungsunterkategorien sind unabhängig voneinander, daher können Sie
Verzeichnisdienstzugriff deaktivieren, bekommen aber trotzdem noch die Ereignisse zu sehen,
die generiert werden, wenn die Unterkategorie Verzeichnisdienständerungen aktiviert ist.