・DC 監査ポリシーの詳細な構成のバックアップ(No.3)

バックアップ一覧
差分を表示
現在との差分を表示
ソースを表示
・DC 監査ポリシーの詳細な構成へ行く。
- 1 (2020-02-12 (水) 17:52:56)
- 2 (2020-02-13 (木) 13:57:24)
- 3 (2020-02-20 (木) 18:20:21)
- 4 (2020-02-25 (火) 09:33:24)

・Windows Server 2016 Domain Controller

[コンピュータの構成]>[ポリシー]>[Windows の設定]>[監査ポリシーの詳細な構成]>[監査ポリシー] †

[コンピュータの構成]>[ポリシー]>[Windows の設定]>[監査ポリシーの詳細な構成]>[監査ポリシー]>[アカウントログオン] †

ポリシー設定	ポリシー値	説明
資格情報の確認の監査	成功、失敗	このポリシー設定を使用すると、ユーザーアカウントログオン資格情報に対する検証テストによって生成されたイベントを監査できます。このサブカテゴリのイベントは、その資格情報に対する権限を持つコンピューター上でのみ発生します。ドメインアカウントの場合は、ドメインコントローラーが権限を持ちます。ローカルアカウントの場合は、ローカルコンピューターが権限を持ちます。ボリューム: ドメインコントローラーでは '高'。クライアントエディションの既定値: 監査なしサーバーエディションの既定値: 成功

[コンピュータの構成]>[ポリシー]>[Windows の設定]>[監査ポリシーの詳細な構成]>[監査ポリシー]>[アカウント管理] †

ポリシー設定	ポリシー値	説明
コンピューターアカウントの管理	成功	このポリシー設定を使用すると、コンピューターアカウントの作成、変更、または削除など、コンピューターアカウントの変更によって生成されるイベントを監査できます。このポリシー設定を構成すると、コンピューターアカウントの変更操作が試みられた場合に監査イベントが生成されます。成功の監査では成功した操作が、失敗の監査では成功しなかった操作が記録されます。このポリシー設定を構成しないと、コンピューターアカウントが変更された場合に、監査イベントは生成されません。ボリューム: 低クライアントエディションの既定値: 監査なしサーバーエディションの既定値: 成功
その他のアカウント管理イベント	成功	このポリシー設定を使用すると、次のような、このカテゴリに含まれないその他のユーザーアカウントの変更によって生成されるイベントを監査できます。ユーザーアカウントのパスワードハッシュへのアクセス。これは通常、Active Directory 管理ツールのパスワードの移行中に発生します。パスワードポリシー確認 API の呼び出し。この関数の呼び出しは、悪意のあるアプリケーションが、パスワード辞書攻撃中の操作数を削減するためにポリシーをテストする場合に、攻撃の一環として実行される可能性があります。
セキュリティグループの管理の監査	成功	セキュリティグループの作成、変更、削除、メンバーの追加または削除、グループタイプの変更など、セキュリティグループの変更によって生成されるイベントを監査します。
ユーザーアカウントの管理の監査	成功と失敗	このポリシー設定を使用すると、ユーザーアカウントの変更を監査できます。イベントは次のとおりです。ユーザーアカウントの作成、変更、削除、名前の変更、無効化、有効、ロックアウト、またはロック解除ユーザーアカウントのパスワードの設定または変更ユーザーアカウントの SID 履歴へのセキュリティ識別子 (SID) の追加ディレクトリサービス復元モードのパスワードの構成管理者ユーザーのアクセス許可の変更資格情報マネージャーの資格情報のバックアップまたは復元このポリシー設定を構成すると、ユーザーアカウントの変更操作が試みられた場合に監査イベントが生成されます。成功の監査では成功した操作が、失敗の監査では成功しなかった操作が記録されます。このポリシー設定を構成しないと、ユーザーアカウントが変更された場合に、監査イベントは生成されません。ボリューム: 低既定値: 成功

[コンピュータの構成]>[ポリシー]>[Windows の設定]>[監査ポリシーの詳細な構成]>[監査ポリシー]>[詳細追跡] †

ポリシー設定	ポリシー値	説明
PNP アクティビティの監査	成功	このポリシー設定を使用すると、プラグアンドプレイが外部デバイスを検出したときに監査できます。このポリシー設定を構成すると、プラグアンドプレイが外部デバイスを検出するたびに監査イベントが生成されます。成功した監査だけが、このカテゴリに記録されます。このポリシー設定を構成しないと、プラグアンドプレイによって外部デバイスが検出されても監査イベントは生成されません。ボリューム: 低
プロセス作成の監査	成功	このポリシー設定を使用すると、プロセスの作成または開始時に生成されるイベントを監査できます。そのプロセスを作成したアプリケーションまたはユーザーの名前も監査されます。このポリシー設定を構成すると、プロセスの作成時に監査イベントが生成されます。成功の監査では成功したプロセス作成が、失敗の監査では成功しなかったプロセス作成が記録されます。このポリシー設定を構成しないと、プロセスの作成時に監査イベントは生成されません。ボリューム: コンピューターの使用状態に依存。

[コンピュータの構成]>[ポリシー]>[Windows の設定]>[監査ポリシーの詳細な構成]>[監査ポリシー]>[オブジェクトアクセス] †

ポリシー設定	ポリシー値	説明
その他のオブジェクトアクセスイベントの監査	成功、失敗	このポリシー設定を使用すると、タスクスケジューラジョブまたは COM+ オブジェクトの管理により生成されるイベントを監査できます。スケジューラジョブの場合の監査対象: ジョブの作成ジョブの削除ジョブの有効ジョブの無効化ジョブの更新 COM+ オブジェクトの場合の監査対象: カタログオブジェクトの追加カタログオブジェクトの更新カタログオブジェクトの削除ボリューム: 低
リムーバブル記憶域の監査	成功、失敗	このポリシー設定を使用すると、ユーザーによるリムーバブル記憶域デバイス上のファイルシステムオブジェクトへのアクセス試行を監査できます。セキュリティ監査イベントは、要求されたすべての種類のアクセスのすべてのオブジェクトに対してのみ生成されます。このポリシー設定を構成すると、アカウントがリムーバブル記憶域上のファイルシステムオブジェクトにアクセスするたびに監査イベントが生成されます。成功の監査では成功したアクセス試行が、失敗の監査では成功しなかったアクセス試行が記録されます。このポリシー設定を構成しないと、アカウントがリムーバブル記憶域上のファイルシステムオブジェクトにアクセスした場合に監査イベントは生成されません。

[コンピュータの構成]>[ポリシー]>[Windows の設定]>[監査ポリシーの詳細な構成]>[監査ポリシー]>[ポリシー変更] †

ポリシー設定	ポリシー値	説明
監査ポリシーの変更	成功、失敗	このポリシー設定を使用すると、次のようなセキュリティ監査ポリシー設定の変更を監査できます。監査ポリシーオブジェクトのアクセス許可設定および監査設定システム監査ポリシーの変更セキュリティイベントソースの登録セキュリティイベントソースの登録解除ユーザーごとの監査設定の変更 CrashOnAuditFail の値の変更ファイルシステムまたはレジストリオブジェクトのシステムアクセス制御リストの変更特殊グループの一覧の変更注意: システムアクセス制御リスト (SACL) の変更の監査は、オブジェクトの SACL が変更され、このポリシー変更のカテゴリが有効にされている場合に実行されます。随意アクセス制御リスト (DACL) および所有権の変更は、オブジェクトアクセスの監査が有効にされていて、DACL/所有者の変更を監査するようにオブジェクトの SACL が構成されている場合に、監査されます。このポリシー設定を構成すると、リモート RPC 接続が操作された場合に監査イベントが生成されます。成功の監査では成功した操作が、失敗の監査では成功しなかった操作が記録されます。このポリシー設定を構成しないと、リモート RPC 接続が操作された場合に、監査イベントは生成されません。ボリューム: 低既定値: 成功
認証ポリシーの変更	成功	このポリシー設定を使用すると、次のような認証ポリシーの変更によって生成されるイベントを監査できます。フォレスト間およびドメイン間の信頼の作成フォレスト間およびドメイン間の信頼の変更フォレスト間およびドメイン間の信頼の削除コンピューターの構成\Windows の設定\セキュリティの設定\Account ポリシー\Kerberos ポリシー以下の Kerberos ポリシーの変更ユーザーまたはグループへの次のユーザー権利の付与: ネットワーク経由でコンピューターへアクセスローカルログオンを許可するターミナルサービスを使ったログオンを許可するバッチジョブとしてログオンサービスとしてログオン名前空間の競合。たとえば、新しい信頼に既存の名前空間名と同じ名前が付けられた場合です。このポリシー設定を構成すると、認証ポリシーの変更操作が試みられた場合に監査イベントが生成されます。成功の監査では成功した操作が、失敗の監査では成功しなかった操作が記録されます。このポリシー設定を構成しないと、認証ポリシーが変更された場合に、監査イベントは生成されません。注意: セキュリティ監査イベントは、グループポリシーが適用された時点で記録されます。設定が変更された時点では、発生しません。ボリューム: 低既定値: 成功
承認ポリシーの変更	成功	このポリシー設定を使用すると、次のような承認ポリシーの変更によって生成されるイベントを監査できます。 '認証ポリシーの変更' サブカテゴリによって監査されない SeCreateTokenPrivilege などのユーザー権利 (特権) の割り当て '認証ポリシーの変更' サブカテゴリによって監査されない SeCreateTokenPrivilege などのユーザー権利 (特権) の削除暗号化されたファイルシステム (EFS) のポリシーの変更オブジェクトのリソース属性に対する変更オブジェクトに適用された集約型アクセスポリシー (CAP) に対する変更このポリシー設定を構成すると、承認ポリシーの変更操作が試みられた場合に監査イベントが生成されます。成功の監査では成功した操作が、失敗の監査では成功しなかった操作が記録されます。このポリシー設定を構成しないと、承認ポリシーが変更された場合に、監査イベントは生成されません。ボリューム: 低既定値: 監査なし

[コンピュータの構成]>[ポリシー]>[Windows の設定]>[監査ポリシーの詳細な構成]>[監査ポリシー]>[特権の使用] †

ポリシー設定	ポリシー値	説明
重要な特権の使用の監査	成功、失敗	このポリシー設定を使用すると、次のような重要な特権 (ユーザー権利) の使用時に生成されるイベントを監査できます。特権サービスの呼び出し次の特権のいずれかの呼び出し: オペレーティングシステムの一部として機能ファイルとディレクトリのバックアップトークンオブジェクトの作成プログラムのデバッグコンピューターとユーザーアカウントに委任時の信頼を付与セキュリティ監査の生成認証後にクライアントを偽装デバイスドライバーのロードとアンロード監査とセキュリティログの管理ファームウェアの環境値の修正プロセスレベルトークンの置き換えファイルとディレクトリの復元ファイルとその他のオブジェクトの所有権の取得このポリシー設定を構成すると、重要な特権が要求された場合に監査イベントが生成されます。成功の監査では成功した要求が、失敗の監査では成功しなかった要求が記録されます。このポリシー設定を構成しないと、重要な特権が要求された場合に、監査イベントは生成されません。ボリューム: 高

[コンピュータの構成]>[ポリシー]>[Windows の設定]>[監査ポリシーの詳細な構成]>[監査ポリシー]>[システム] †

ポリシー設定	ポリシー値	説明
IPsec ドライバーの監査	成功、失敗	このポリシー設定を使用すると、次のような IPsec フィルタードライバーによって生成されるイベントを監査できます。 IPsec サービスの開始とシャットダウン整合性チェックの不合格が原因のネットワークパケットの破棄リプレイチェックの不合格が原因のネットワークパケットの破棄プレーンテキストであることが原因のネットワークパケットの破棄セキュリティパラメーターインデックス (SPI) が正しくないネットワークパケットの受信。ネットワークカードが正しく動作していないか、ドライバーを更新する必要がある可能性があります。 IPsec フィルターの処理不能このポリシー設定を構成すると、IPsec フィルタードライバーの操作が発生した場合に監査イベントが生成されます。成功の監査では成功した操作が、失敗の監査では成功しなかった操作が記録されます。このポリシー設定を構成しないと、IPsec フィルタードライバーの操作が発生した場合に、監査イベントは生成されません。ボリューム: 低既定値: 監査なし
その他のシステムイベントの監査	成功、失敗	このポリシー設定を使用すると、次のようなイベントを監査できます。 Windows ファイアウォールサービスおよびドライバーの開始とシャットダウン Windows ファイアウォールサービスによるセキュリティポリシーの処理暗号化キーファイルおよび移行操作ボリューム: 低既定値: 成功、失敗
セキュリティ状態の変更	成功	このポリシー設定を使用すると、次のイベントようなコンピューターのセキュリティ状態の変更によって生成されるイベントを監査できます。コンピューターの起動およびシャットダウンシステム時刻の変更 CrashOnAuditFail からのシステムの回復。これは、セキュリティイベントログがいっぱいで、CrashOnAuditFail レジストリエントリが構成されている場合に、システムの再起動後に記録されます。ボリューム: 低既定値: 成功
セキュリティシステムの拡張	成功	このポリシー設定を使用すると、次のようなセキュリティシステムの拡張またはサービス関連のイベントを監査できます。セキュリティシステムの拡張。認証、通知、またはセキュリティパッケージが読み込まれ、ローカルセキュリティ機関 (LSA) に登録された場合など。これは、ログオンの認証、ログオン要求の送信、アカウントやパスワードの変更に使用されます。セキュリティシステムの拡張の例としては、Kerberos や NTLM が挙げられます。サービスのインストールおよびサービスコントロールマネージャーへの登録。監査ログには、サービスの名前、バイナリ、種類、開始の種類、およびサービスアカウントが含まれます。このポリシー設定を構成すると、セキュリティシステムの拡張を読み込む操作が実行された場合に監査イベントが生成されます。成功の監査では成功した操作が、失敗の監査では成功しなかった操作が記録されます。このポリシー設定を構成しないと、セキュリティシステムの拡張を読み込む操作が実行された場合に、監査イベントは生成されません。ボリューム: 低。セキュリティシステムの拡張関連のイベントは、クライアントコンピューターやメンバーサーバーよりもドメインコントローラー上で、より頻繁に生成されます。既定値: 監査なし
システムの整合性	成功、失敗	このポリシー設定を使用すると、次のようなセキュリティサブシステムの整合性に違反するイベントを監査できます。監査システムの問題のために、イベントログへの書き込みができなかったイベントクライアントアドレス空間へのまたはクライアントアドレス空間からの応答、読み取り、または書き込みによるクライアントの偽装の操作において無効なローカルプロシージャコール (LPC) ポートを使用するプロセスシステムの整合性を損なうリモートプロシージャコール (RPC) の検出コードの整合性により無効とされた実行可能ファイルのハッシュ値の検出システムの整合性を損なう暗号化操作ボリューム: 低既定値: 成功、失敗