36. Проверка отчётов, получаемых при аудите. Управление аудитом.

Записи об отслеживаемых событиях фиксируются в журнале безопасности. Для просмотра журнала событий и сохранения их в виде файлов, м. исп. оснастку «Просмотр событий». Записи в журнале сохраняются в виде текста с разделителями типа запятых или табуляторов. Кроме журналов безопасности, администратор так же может работать с журналами, создаваемыми службами и приложениями. Ввод записи в журнал осуществляется в реальном времени, т.е. в момент просмотра в него продолжают вноситься новые записи.

Журналы событий можно копировать, архивировать, пересылать в другие приложения для обработки, а так же освобождать журнал от записи. Например, сохраненный журнал можно обрабатывать с помощью Access, Excel и др. приложений, которые используют такие же разделители текста. Так же существуют программные средства, которые позволяют автоматизировать работу с журналами системы, например, приложение LogCaster фирмы RippleTech. Управление журналом событий – это лишь небольшая часть того, что делает этот инструмент. Он выполняет в реальном времени обработку журнала, мониторинг служб и устройств TCP/IP, счетчиков производительности и многое другое. При необходимости она передает сигналы тревоги по электронной почте, пейджеру и т.д.

Управление аудитом.

Можно выполнять аудит каждого события, однако реализовывать это непрактично, поскольку на систему ложится чрезмерная нагрузка. Кроме того, создается громадный файл журнала, что вызывает необходимость частого его архивирования. Рассмотрим типичные случаи аудита:

1. Включение всего аудита. Полный аудит реализуется в случае, если необходимо сертифицировать систему на безопасность. Для уменьшения журнала событий можно фиксировать лишь неудачные попытки (неуспех событий), а успешные события не фиксируются.

2. Отключение аудита. Полное отключение аудита реализуется в том случае, когда безопасность системы не очень беспокоит ее владельцев. Это уменьшает накладные расходы, однако большинство организаций заботятся о своей безопасности, поэтому полное отключение аудита используется крайне редко.

3. Аудит «проблемных» пользователей. Некоторые пользователи по той или иной причине становятся «проблемными». Причем, это происходит не столько из-за недостатков самого пользователя, сколько из-за проблем с его профилем, учетной записью и т.д. В других случаях это происходит именно из-за самого пользователя. Например, он часто вводит неправильный пароль, учетную запись, пытается зарегистрироваться не в то время, получить доступ к неразрешенному ресурсу и т.д. В таких случаях потребуется отслеживать события с этим пользователем. Кроме того, потребуется информация, необходимая для отмены или срочного завершения его действий.

4. Аудит администраторов. Данный аудит используется для того, чтобы обнаруживать неавторизованное использование административных полномочий. Однако, следует помнить, что аудит администраторов является многоплановым и может повлечь за собой ущерб производительности системы. К данному аудиту следует прибегать только когда есть подозрение в неблагонадежности определенного администратора.

5. Аудит важных файлов и папок. Данный аудит является самым распространенным. Кроме отслеживания доступа к ресурсам, как правило, прослеживается, когда пользователи это делают, какие применяют действия по отношению к объекту, имеет ли место изменение приложений, а так же случаи присвоения объектов.