19. В.П.Леоньев, Большая энциклопедия комп’ютера и интернета, 2005.

20. Конспект лекцій.

Матеріально технічне забезпечення та дидактичні засоби, ТЗН:комп’ютери з встановленою операційною системою Windows XP Professional.

10.1. Планування політики аудита

Аудит дозволяє відслідковувати дії користувачів і операційної системи Windows XP Professional, які називаються подіями (событиями або events). Засобами аудита можна задати режим, при якому Windows XP Professional реєструє події в журналі безпеки (журнале безопасности або security log). У журналі зберігаються записи про успішні і невдалі спроби входу в систему, доступу до файлів або інших об'єктів.

Запис аудита в журналі безпеки містить дані про:

користувачів, що виконали операцію;

результати виконання операції із зазначенням часу, коли відбулася подія.

Поняття політики аудита

Політика аудита (политика аудита або audit policy) задає типи подій системи безпеки, які Windows XP Professional реєструє в журналі безпеки комп'ютера.

Можна настроїти політику аудита комп'ютера на виконання наступних операцій:

виявлення успішних або невдалих дій, наприклад спроб входу користувачів у систему чи спроб користувача прочитати файл, зміни облікового запису користувача або приналежності до групи, зміни параметрів безпеки;

виключення або мінімізація ризику неавторизованого використання ресурсів.

Для перегляду подій, зареєстрованих системою Windows ХPProfessional у журналі безпеки, використовується утиліта Перегляд подій (Просмотр событий або Event Viewer). Можна також зберігати файли журналу в архіві для з'ясування закономірностей за зазначений період часу.

Визначення подій, що підлягають реєстрації

При плануванні політики аудита потрібно визначити, які події варто реєструвати і на яких комп'ютерах потрібно установити аудит. За замовчуванням аудит відключений. Windows XP Professional, окремо на кожнім комп'ютері, реєструє події, що підлягають аудитові.

Можна реєструвати наступні типи подій:

• спроби доступу до файлів і папок;

• вхід у систему і вихід з неї;

• вимикання комп'ютера з Windows XP Professional;

• запуск комп'ютера з Windows XP Professional;

• зміни облікових записів користувачів і груп;

• спроби зміни об'єктів Active Directory (тільки якщо комп'ютер з Windows XP Professional є частиною домену).

Після того як типи реєстрованих подій задані, потрібно визначити, чи реєструвати успішні дії, невдалі спроби або обидва види подій. Відстеження успішних дій подає інформацію про те, як часто система Windows XP Professional або користувачі звертаються до конкретних файлів, принтерів або інших об'єктів.

єстрація невдалих спроб дозволяє виявити слабкі місця в захисті системи. Так, якщо зафіксовано кілька невдалих спроб входу в систему під певним ім'ям користувача, особливо в неробочий час, можна припустити, що неавторизований користувач намагається «зламати» систему.

При виборі політики аудита керуйтеся правилами, описаними далі.

Визначите, чи потрібно відслідковувати закономірності завантаження системи. Якщо так, то треба передбачити збереження журналів подій в архіві. Це дозволить контролювати розподіл завантаження за часом і заздалегідь планувати збільшення ресурсів системи.

Часто переглядайте журнали безпеки. Обов'язково встановіть розклад і регулярно переглядайте журнали безпеки, тому що виконання аудита не попереджає про слабкі місця в захисті системи.

Задайте інформативну і працездатну політику аудита. Завжди реєструйте спроби доступу до життєво важливих і конфіденційних даних. єструйте тільки ті події, що дають суттєву інформацію. Це знижує споживання ресурсів комп'ютера до мінімуму і спрощує пошук потрібної інформації. єстрація великого числа подій може привести до надмірної витрати системних ресурсів Windows XP Professional.