30.4 Überwachungsrichtlinien (Auditing) 

Motive für die Überwachung der Aktivitäten auf den Servern

Die Überwachung und Sicherheitsprotokollierung von Netzwerkaktivitäten sind wichtige Schutzvorkehrungen. Windows Server 2000/2003 ermöglicht die Überwachung unterschiedlicher Ereignisse, mit deren Hilfe die Aktivitäten eines Eindringlings verfolgt werden können. Die Einträge der Protokolldatei können als Beweismaterial herangezogen werden, wenn der Eindringling identifiziert ist.

Ereignisprotokolloptionen

Damit Ereignisse über einen geeignet langen Zeitraum überwacht werden können, müssen die Optionen der Ereignisprotokolle geeignet gesetzt werden. Dieses kann ebenfalls über eine Gruppenrichtlinie für alle Domänencontroller erfolgen, und zwar über Computerkonfiguration · Windows-Einstellungen · Sicherheitseinstellungen · Ereignisprotokoll · Einstellungen für Ereignisprotokoll.

Soweit genug Plattenplatz auf den Servern vorhanden ist, sollten ca. 10 bis 20 Megabyte für alle Ereignisprotokolle reserviert und die Einstellung getroffen werden, nach wie viel Tagen Ereignisprotokolle überschrieben werden dürfen. Es muss in regelmäßigen Abständen überprüft werden, ob die Ereignisse über einen geeignet langen Zeitraum (mindestens fünf Arbeitstage) protokolliert werden, bevor die Protokolldatei überschrieben wird.

Aktivierung der Serverüberwachung

Auf Servern sollten die Überwachungsrichtlinien mittels der Gruppenrichtlinien unter Computerkonfiguration · Windows-Einstellungen · Sicherheitseinstellungen · lokale Einstellungen · Überwachungsrichtlinien konfiguriert werden. Mindestens fehlgeschlagene Zugriffsversuche sollten mitprotokolliert werden.

Damit die Überwachungsrichtlinien nicht für alle Server einzeln gesetzt werden müssen, sollten Servertypen in Organisationseinheiten zusammengefasst werden. Für die jeweilige Organisationseinheit kann dann eine Überwachungsrichtlinie erstellt werden.

Überwachung des Systems

Folgende Mindesteinstellungen sollten auf Domänencontrollern vorgenommen werden:

Fehlgeschlagene Active-Directory-Zugriffe

Fehlgeschlagene Anmeldeversuche

Fehlgeschlagene Objektzugriffsversuche

Fehlgeschlagene Versuche, Gruppenrichtlinien zu verändern

Fehlgeschlagene Versuche, die Eigenschaften der Ereignisprotokollierung zu verändern

Hier klicken, um das Bild zu Vergrößern

Wenn es die Serverleistung zulässt, sollten alle oben angegebenen Ereignisse auf fehlgeschlagen und erfolgreich überprüft und mitprotokolliert werden. Diese Einstellungen sollten auch auf den Dateiservern vorgenommen werden.

Überwachung der Registrierdatenbank

Bei der Überprüfung der Registrierdatenbank auf unberechtigte Änderungen muss ebenfalls ein Kompromiss zwischen der Menge der möglichen Ereignisse, die überwacht werden können, und der Belastung des Computers durch die permanente Überwachung gefunden werden. Ebenso sollte das Ereignisprotokoll nicht von unwichtigen Meldungen überschwemmt und damit unübersichtlich werden, so dass wirkliche Eindringversuche in der Fülle der Meldungen nicht auffallen.

Besondere Beachtung verdienen Manipulationen an der Registrierdatenbank, die das System betreffen. Deshalb sollten mindestens folgende Unterschlüssel der Registrierdatenbank überwacht werden:

HKEY_LOCAL_MACHINE\System

HKEY_LOCAL_MACHINEW\Software

HKEY_CLASSES_ROOT

Über die Gruppenrichtlinie Computerkonfiguration · Windows-Einstellungen · Sicherheitseinstellungen · Registrierung können diese Schlüssel zwecks Überwachung hinzugeladen werden. Dies sollte auf Domänencontrollern und Dateiservern geschehen. Die durch die Überwachung hinzukommende Systembelastung muss dabei kontrolliert werden.

Hier klicken, um das Bild zu Vergrößern

Überwachung des Dateisystems

Windows Server bietet die Möglichkeit, Zugriffe auf Verzeichnisse oder auch auf einzelne Dateien zu überwachen. Auf allen Servern sollte mindestens der Zugriff auf wichtige Systemverzeichnisse überwacht werden. Bei Dateiservern kann in Absprache mit den Fachabteilungen zusätzlich der Zugriff auf sensible Anwendungsdaten überwacht werden. Die Überwachung kann auf jedem Server über den Explorer eingestellt werden. Um jedoch auf allen Servern eines Servertyps gleiche Einstellungen zu erzielen, sollte dies über eine Gruppenrichtlinie auf OU-Ebene erfolgen: Über die Gruppenrichtlinie Computerkonfiguration · Windows-Einstellungen · Sicherheitseinstellungen · Dateisystem können Ordner sowie die Art der Protokollierung angegeben werden. Speziell der Zugriff auf die Dateien der Registrierdatenbank und auch der Ereignisprotokolldateien selbst im Verzeichnis c:\winnt\system32\config sollte überwacht werden.

Hier klicken, um das Bild zu Vergrößern

Hier klicken, um das Bild zu Vergrößern

Hier klicken, um das Bild zu Vergrößern

Da sich die Konfiguration der Domänencontroller und Dateiserver nach ihrer Grundkonfiguration in der Regel nicht mehr ändert, kann jedoch auch das gesamte Betriebssystem unter %SystemRoot% und c:\Programme überwacht werden.

Hier klicken, um das Bild zu Vergrößern

Hier klicken, um das Bild zu Vergrößern