7. Аудит доступа к файловой системе и разделам реестра.
Аудит доступа к файлам и папкам.
Включение аудита доступа к файлам и папкам возможно только для томов NTFS. Прежде всего вам необходимо настроить политику доступа к файлам и папкам. Для этого воспользуйтесь вкладкой Безопасность в свойствах конкретной папки или файла.
Нажмите кнопку Дополнительно и в открывшемся окне выберите вкладку Аудит.
На этой вкладке окна Дополнительные параметры безопасности для ... нажмите кнопку Добавить, выберите пользователей, которым хотите включить аудит доступа и нажмите OK.
В окне Элемент аудита для ... установите флажки Успех и/или Отказ на тех событиях, которые планируете контролировать и нажмите OK.
По умолчанию, установленный аудит относится ко всем дочерним файлам и папкам вложенным в данную (родительскую) папку.
Чтобы запретить распространение политики аудита на дочерние файлы и папки, снимите флажокНаследовать от родительского объекта применимые к дочерним объектам элементы аудита. Нажмите кнопку OK.
Аудита раздела реестра
ПРЕДУПРЕЖДЕНИЕ: Неправильное использование редактора реестра может привести к серьезным проблемам проблемы, которые могут потребовать переустановки операционной системы. Корпорация Майкрософт не гарантирует решения проблем, вызванных реестра Редактор неправильно. С помощью редактора реестра на свой страх и риск.
Нажмите кнопку Начало, а затем нажмите кнопку Запустить.
В Открыть поле типа Regedt32, а затем нажмите кнопку ОК.
Найдите и выделите раздел реестра, который нужно провести аудит, Например:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
На Безопасность меню, нажмите кнопку Разрешения.
Нажмите кнопку Дополнительно, нажмите кнопку Аудит вкладки, а затем нажмите кнопкуДобавить.
Выберите учетную запись, клавиши доступа, для которого данный реестр, которые необходимо включить аудит, например, Пользователи, прошедшие проверку, а затем нажмите кнопку ОК.
Установите следующие флажки в группе оба Успешно и Не удалось:
Задание значения
Создание подраздела
Нажмите кнопку ОК, а затем нажмите кнопку ОК.
Может появиться следующее сообщение:
Текущая политика аудита для данного компьютера не активирован аудит. Если данный компьютер получает политику аудита от домена, попросите администратора домена, чтобы включить аудит с помощью редактора групповой политики. В противном случае используйте редактор локальной политики для настройки политики аудита локально на этом компьютере.
Аудит не включен, необходимо включить его, следуя Следуйте инструкциям в Включение аудита в группе Политика в разделе данной статьи.
Нажмите кнопку ОК, а затем нажмите кнопку ОК.
Закройте редактор реестра.
События аудита, отображаются в журнале безопасности средства просмотра событий.
Как использовать шаблон безопасности для аудита раздела реестра
Также можно использовать шаблон безопасности для аудита разделов реестра. Для Настройка политики аудита, либо создать шаблон безопасности или изменение существующий шаблон, а затем с помощью групповой политики для применения этого шаблона несколько компьютеров в домене или подразделении.