Глава 7. Настройка механизмов контроля и регистрации
Регистрация событий
Настройка параметров журнала безопасности
При настройке локального журнала безопасности необходимо определить его размер и порядок хранения, а также указать перечень событий, регистрируемых в системе до идентификации пользователя (этот перечень действует для всех пользователей системы). Кроме того, можно указать для каждого пользователя персональный перечень регистрируемых событий.
Для настройки параметров журнала безопасности:
1. Вызовите окно настройки общихпараметров ивыберите диалог "Журнал":
Укажите требуемый размер журнала
Выберите способ очистки журнала в случае его переполнения: автоматический или ручной.
Рис. 50. Диалог "Журнал"
2.Установите максимальный размер журнала и укажите механизм очистки журнала при его переполнении.
Обратите внимание! Для усиления защищенности журнала безопасности может быть включен параметр "Блокировка при переполнении системного журнала" (см. ниже), что должно предотвратить потерю информации о событиях, зарегистрированных в журнале при его переполнения. Однако при использовании процедуры ручной очистки журнала может произойти его переполнение и аварийное завершение работы компьютера. Поэтому, выбирая ручной способ очистки журнала, позаботьтесьоконтролезапереполнением.
3.Нажмите на кнопку "OK" или "Применить".
91
Secret Net NT 4.0 Руководство по администрированию
Настройка общего перечня регистрируемых событий
Этот режим регистрации будет действовать для всех пользователей компьютера до тех пор, пока пользователь не завершит вход в систему, после чего начнет действовать режим регистрации событий, который был установлен индивидуально для него.
Для настройки перечня регистрируемых событий:
1. В окне настройки общих параметров выберите диалог "Регистрация событий":
В зависимости от того, успешное или неудачное событие нужно зарегистрировать, поставьте отметку в полях "Успех" или "Отказ", расположенных справа от категории события
Для задания списка событий, подлежащих регистрации, выберите тип события и поставьте отметку в соответствующее поле выключателя слева от имени регистрируемого события
Рис. 51. Диалог "Регистрация событий"
2.Отметьте категории событий Windows NT и события Secret Net NT, которые должны регистрироваться в журнале безопасности.
О событиях Windows NT. Подробное их описание приведено в книге "Windows NT; Концепции и планирование", входящей в комплект документации к этой ОС.
3.Нажмите на кнопку "OK" или "Применить".
92
Глава 7. Настройка механизмов контроля и регистрации
Дополнительный аудит
Дополнительный аудит используется для усиления контроля за состоянием журнала безопасности и для регистрации событий, связанных с изменением привилегий и попытками доступа к основным объектам системы.
Для включения дополнительных параметров регистрации:
1. Вызовите окно настройки общих параметров и выберите диалог "Компьютер":
Откройте группу параметров "Дополнительный аудит" и установите отметки рядом с теми из них, которые нужны для расширения аудита
В группу "Другие" входит параметр "Блокировка при переполнении системного журнала"
Рис. 52. Диалог "Компьютер"
2.Установите отметки рядом с нужными параметрами, которые относятся к дополнительному аудиту:
Параметры группы "Дополнительный аудит"
Полный аудит |
Регистрируются события, связанные с изменением привилегий "Архиви- |
привилегий |
рование файлов и каталогов" и "Восстановление файлов и каталогов" |
Аудит основных |
Регистрируются события, связанные с обращением к основным объек- |
объектов |
там ОС Windows NT (например, секциям, портам или семафорам) |
Ограничение |
Просмотр журнала безопасности Windows NT разрешен только пользо- |
доступа к |
вателям, обладающим привилегией Windows NT "Управление аудитом и |
системному |
журналом безопасности". Пользователям с правами гостя или не про- |
журналу |
шедшим аутентификацию запрещается просматривать журнал |
Параметр группы "Другие" |
|
Блокировка при |
Предотвращает потерю информации в случае переполнения журнала |
переполнении |
событий. Переполнение журнала приводит к аварийному завершению |
системного |
работы компьютера |
журнала |
|
3. Нажмите на кнопку "OK" или "Применить".
Внимание! Включение параметра "Аудит основных объектов", особенно совместно с параметром "Полный аудит привилегий", может привести к быстрому переполнению журнала безопасности.
93
Secret Net NT 4.0 Руководство по администрированию
Настройка персонального перечня регистрируемых событий
Для каждого пользователя компьютера может быть установлен персональный перечень событий, которые будут автоматически регистрироваться в журнале безопасности после идентификации пользователя.
Для настройки персонального перечня регистрируемых событий:
1. В программе "Проводник" выберите интересующего Вас пользователя и вызовите на экран окно настройки свойств.
2. Выберите диалог "Регистрация событий":
В зависимости от того, успешное или неудачное событие нужно зарегистрировать, поставьте отметку в полях "Успех" или "Отказ", расположенных справа от категории события
Для задания списка событий, подлежащих регистрации, выберите тип события и поставьте отметку в соответствующее поле выключателя слева от имени регистрируемого события
Рис. 53. Диалог "Регистрация событий"
3.Отметьте категории событий Windows NT и события Secret Net NT, которые необходимо регистрировать в локальном журнале безопасности.
4.Нажмите на кнопку "OK" или "Применить".
94