En av de viktigaste frågorna som administratörer måste vi tänka på är säkerheten för våra servrar och utrustning, att säkerställa dem som har tillgång till dem och ta hand om vilka privilegier de har. Det kan hända att vissa användare, av misstag eller inte, gör ändringar i olika serverparametrar och precis som det kan finnas ändringar som inte påverkar systemets prestanda och stabilitet kan andra ändringar avsevärt påverka säkerheten, konfidentialiteten och prestandan för Windows Server 2016 och i sin tur medför detta allvarliga problem som till och med kan leda till juridiska problem.
Förutom att göra säkerhetskopior är en av de bästa metoder som vi kan utföra som administratörer, IT -chefer och i allmänhet som systempersonal implementera en granskningspolicy som gör att vi kan övervaka vilka användare som är inloggade på Windows Server 2016 (Eller tidigare versioner av W.Server) och på detta sätt för att kunna analysera om systemfel sammanfaller med inloggning av en annan användare än de auktoriserade. Vi kommer att analysera hur vi kan implementera denna policy i en Windows Server 2016 -miljö.
1. Granskningspolicyinställningar
Det första steget vi måste ta för att skapa vår revisionspolicy blir att gå in i grupppolicyhanteringskonsolen eller Grupppolicyhanteringskonsol, för detta kommer vi att använda tangentkombinationen:
Vi trycker på Stiga på eller Okej och vi kommer att se följande fönster:
Att vara i GPO -konsol vi kommer att flytta enligt följande:
Forest / Domains / Nuestro_Dominio / Domain Controllers / Standard Domain Controllers Policy
Vi kommer att ge högerklicka på Standard domänkontrollantpolicy och vi väljer Redigera För att komma in i grupprincipredigeraren ser vi följande miljö:
Där måste vi gå till följande rutt:
- Datorkonfiguration
- Policyer
- Windows -inställningar
- Säkerhetsinställningar
- Avancerad konfiguration av granskningspolicy
- Granskningspolicyer
FÖRSTORA
[color = rgb (169 169 169)] Klicka på bilden för att förstora [/ color]
På detta sätt har vi gått in i Alternativ för inloggning / avloggning och vi borde möjliggöra granskning för dessa åtgärder, så när en användare loggar in kommer de att registreras i händelsevisaren så att de senare kan gå in och utföra motsvarande analys. Eftersom vi ser rätt del har vi en rad alternativ men vi måste redigera följande:
- Granskning avloggning
- Granskning av inloggning
- Granska andra inloggnings- / avloggningshändelser
Dessa tre (3) alternativ ger oss detaljerad information om:
- Session -inloggningar
- Sessionen avslutas
- Utrustningslås
- Anslutningar via fjärrskrivbord
- Etc.
Dubbelklicka bara på de tre (3) alternativen och aktivera rutan Konfigurera följande revisionshändelser och kontrollera de två tillgängliga alternativen (Framgång -Tillfredsställande Y Misslyckande - fel) för att behålla full kontroll över inloggnings- och avloggningshändelser i Windows Server 2016.
Vi trycker på Tillämpa och därefter Okej för att spara ändringarna.
2. Analysera händelsevisaren
När vi har konfigurerat dessa parametrar korrekt kommer vi in i händelsevisaren för att analysera respektive händelser.
Logga in och logga ut revisionshändelserNu är ID: n för händelserna som vi måste tänka på att övervaka följande:
- 4624: Logga in (säkerhetshändelse)
- 4647: Logga ut (säkerhetshändelse)
- 6005: Systemstart (systemhändelse)
- 4778: Ansluta till ett RDP - Fjärrskrivbord (säkerhetshändelse)
- 4779: Logga ut från RDP - Fjärrskrivbord (säkerhetshändelse)
- 4800: Utrustningslås (säkerhetshändelse)
- 4801: Lås upp utrustning (säkerhetshändelse)
Vi kommer att kunna komma åt eventvisaren med något av följande alternativ:
- Högerklicka på startikonen
FÖRSTORA
[color = rgb (169 169 169)] Klicka på bilden för att förstora [/ color]
För att granska de ovannämnda händelserna vi väljer alternativet Säkerhet på fliken Windows Loggar:
FÖRSTORA[color = rgb (169 169 169)] Klicka på bilden för att förstora [/ color]
Nästa kommer vi att ge klicka på alternativet Filtrera aktuell logg för att kunna filtrera efter händelse -ID. Vi måste ange ID eller ID som vi vill validera, vi anger helt enkelt värdet (i detta exempel 4624) i fältet Enter ID:
Vi trycker på Okej och vi kommer att se följande resultat:
FÖRSTORA[color = # a9a9a9] Klicka på bilden för att förstora [/ color]
Där kan vi välja någon av händelserna för att analysera all din information:
Vi kan se i den övre delen användaren som har loggat in, domänen som de har anslutit till och andra parametrar, i den nedre delen kan vi se typen av granskning, datum och tid för händelsen, beskrivning av händelsen och andra aspekter.
Den här vägen vi har skapat en revisionspolicy på inloggnings- och utloggningsnivå vilket gör att vi kan utföra en total hantering och hela tiden om vilka användare och när de har loggat in på Windows Server 2016 och därifrån avgöra om det har gjorts någon ändring av systemet.
