Konfiguracija Auditing-a (kontrola)
U ovoj lekciji će se naučiti:
Nijedna sigurnosna strategija nije kompletna bez obimne strategije praćenja (Auditing). Često organizacije nauče ovo pravilo na svojim greškama nakon nekog sigurnosnog incidenta. Bez konfirucaje praćenja tragova akcija, skoro je nemoguće uspešno ispitati sigurnosni incident. Moramo odrediti, kao deo naše sigurnosne strategije, koje događaje želimo da pratimo, nivo praćenja koji odgovara našem okruženju, kako skupljamo događaje koje pratimo i kontrolišemo, i kako želimo da ih ispitamo.
Šta je Auditing (kontrola)?
Auditing je proces koji prati korisnika i aktivnosti operativnog sistema tako što zapisuje određene tipove događaja u sigurnosni log na Serveru ili na radnoj stranici. Sigurnosni log sadrži različite zapise praćenja, koji sadrže sledeće informacije:
Potrebe organizacije za sigurmošću pomaže pri određivanju nivoa Auditinga koji treba da se konfiguriše. Na primer, ako je potrebna minimalna mrežna sigurnost možda ćemo izabrati da pratimo pogrešne pokušaje logovanja na sistem da bi nadgledali potencijalne pokušaje napada. Za mreže kojima je potreban visok nivo sigurnosti, možemo da konfigurišemo da pratimo i uspešne i neuspešne pokušaje logovanje da bi pratili neautorizovane korisnike koji su se uspešno ulogovali na mrežu.
Mada Auditing daje vredne informacije, preterana konfiguracija Auditinga može da prepuni Audit log sa nepotrebnim informacijama. Ovo može da ima snazan utisaj na Performansu našeg sistema i takođe elstremno teško možemo da pronađemo podatke i informacije koje želimo. Tipovi događaja koje treba da pratimo:
Za više informacija o Auditingu, pogledajte: the TechNet article .Auditing overview At http://www.microsoft.com/technet/treeview/default.asp?url=/ technet/prodtechnol/windowsserver2003/proddocs/server/ sag_SEconceptsAudit.asp.
Šta je to Audit Polisa?
Uvođenje Audit polise je veoma važan deo sigurnosti. Nadgledanje kreiranja i modifikovanja objekata nam daje način da pratimo potencijalne sigurnosne probleme, pomaže nam da obezbedimo korisničku odgovornost i daje nam dokaze o događaju. Audit polisa definiše tip sigurnosnog događaja koji Windows Server 2003 zapisuje u sigurnosni Log na svakom kompjuteru. Windows Server 2003 zapisuje događaje u sigurnosni log na sšecifičnom kompjuteru gde se događaj i desio.
Zašto postavljamo Audit polisu?
Postavljamo Audit polisu za kompjuter kad želimo da:
Kako implementiramo Audit polisu?
Možemo da podesimo Audit polisu na jednom kompjuteru, direktno koristeći Local Policy snap-in ili indirektno koristeći grupne polise, što je mnogo češći način koji se koristi u većim organizacijama. Nakon što je Audit polisa dizajnirana i implementirana, informacije počinju da se pojavljuju u sigurnosnim logovima (security Log) Svaki kompjuter u organizaciji ima odvojeni sigurnosni log koji zapisuje lokalne događaje. Kada implementiramo Audit polisu:
Sledeći sigurnosni šabloni konfigurišu Auditing postavke:
Ako želimo da vidimo postavke polisa koje konfigurišu ovi sigurnosni šabloni, to možemo u:
Security Templates snap-in, navigiramo .... Local PoliciesAudit Policy za svaki administrativni šablon. Za više informacija o audit polisama, pogledajte: TechNet article .Auditing policy. at http://www.microsoft.com/technet/treeview/default.asp?url=/ technet/prodtechnol/windowsserver2003/proddocs/server/APtopnode.as.
Tipovi događaja koje treba da pratimo (Audit) Prvi korak u kreiranju strategije za praćenje operativnog sistema je određivanje koji tip akcije ili operacija želimo da pratimo i da zapisujemo. Koje događaje operativnog sistema treba da pratimo? Naravno, ne želimo da pratimo svaki događaj, zato što praćenje svih događaja operativnog sistema zahteva ogromne resurse operativnog sistema i negativno deluje na performansu sistema. Treba raditi zajedno sa drugim sigurnosnim specijalistima da bi odredili koje događaje operativnog sistema treba da pratimo.
Uspešni i neuspešni događaji (success and failure)
U Windows Server 2003, događaji za praćenje su podeljeni u dve katagorije:
The Setup security.inf šablon uključuje defoltne postavke koje omogućavaju praćenje uspešnih Account Logon događaja i uspešnih Logon događaja.
Vodič za planiranje Audit Polise Praćenje previše tipova događaja može da dovede do kreiranja previše zapisa i samim tip negativno utiče na Performansu sistema. Koristimo sledeća pravila kada planiramo Audit polisu: