Jedno od najvažnijih pitanja koje kao administratori moramo imati na umu je sigurnost naših poslužitelja i opreme, osiguravanje onih koji im imaju pristup i briga o privilegijama koje u tome imaju. Može se dogoditi da neki korisnik, slučajno ili ne, izvrši izmjene u različitim parametrima poslužitelja i baš kao što može doći do promjena koje ne utječu na performanse i stabilnost sustava, druge promjene mogu značajno utjecati na sigurnost, povjerljivost i performanse sustava Windows Server 2016, a to zauzvrat donosi ozbiljne probleme koji čak mogu dovesti do pravnih problema.
Osim izrade sigurnosnih kopija, jedna od najboljih praksi koju možemo provoditi kao administratori, IT menadžeri i općenito kao osoblje sustava je implementirati politiku revizije koja nam omogućuje praćenje koji su korisnici prijavljeni na Windows Server 2016 (Ili prethodne verzije W.Servera) i na taj način moći analizirati podudaraju li se kvarovi sustava s prijavom korisnika koji nije ovlašten. Analizirat ćemo kako možemo primijeniti ovu politiku u okruženju Windows Server 2016.
1. Postavke politike revizije
Prvi korak koji moramo poduzeti kako bismo stvorili svoj revizijsku politiku bit će za ulazak u konzolu za upravljanje pravilima grupe ili Konzola za upravljanje pravilima grupe, za to ćemo koristiti kombinaciju tipki:
Pritišćemo Unesi ili u redu i vidjet ćemo sljedeći prozor:
Biti u GPO konzola kretat ćemo se na sljedeći način:
Šuma / Domene / Nuestro_Dominio / Kontroleri domena / Zadana pravila o kontrolerima domena
Dat ćemo desnom tipkom miša kliknite Zadana pravila kontrolera domene i mi biramo Uredi Za ulazak u uređivač pravila grupe vidjet ćemo sljedeće okruženje:
Tamo moramo ići na sljedeću rutu:
- Konfiguracija računala
- Pravila
- Postavke sustava Windows
- Sigurnosne postavke
- Napredna konfiguracija politike revizije
- Pravila revizije
POVEĆAJTE
[color = rgb (169,169,169)] Kliknite na sliku za povećanje [/ color]
Na ovaj način smo ušli u Opcija prijave / odjave a trebali bismo omogućiti reviziju za te radnje pa će se korisnik, kad se prijavi, registrirati u pregledniku događaja kako bi kasnije mogli unijeti i izvršiti odgovarajuću analizu. Kako vidimo desni dio, imamo niz opcija, ali moramo urediti sljedeće:
- Odjava revizije
- Prijava za reviziju
- Revizija drugih događaja pri prijavi / odjavi
Ove tri (3) opcije pružit će nam detaljne informacije o:
- Prijava na sesiju
- Zatvaranje sjednice
- Brava za opremu
- Veze putem udaljene radne površine
- Itd.
Samo dvaput kliknite na tri (3) opcije i aktivirajte okvir Konfigurirajte sljedeće revizijske događaje i provjerite dvije dostupne opcije (Uspjeh -zadovoljavajući Y Neuspjeh - Pogrešno) kako biste zadržali potpunu kontrolu nad događajima prijavljivanja i odjave u sustavu Windows Server 2016.
Pritišćemo Primijeni i naknadno u redu za spremanje promjena.
2. Analizirajte preglednik događaja
Nakon što smo ispravno konfigurirali ove parametre, ući ćemo u preglednik događaja za analizu odgovarajućih događaja.
Događaji revizije prijave i odjaveSada su ID -ovi događaja koje moramo imati na umu za praćenje sljedeći:
- 4624: Prijava (sigurnosni događaj)
- 4647: Odjava (sigurnosni događaj)
- 6005: Pokretanje sustava (događaj sustava)
- 4778: Spajanje na RDP - udaljenu radnu površinu (sigurnosni događaj)
- 4779: Odjava s RDP -a - udaljena radna površina (sigurnosni događaj)
- 4800: Zaključavanje opreme (sigurnosni događaj)
- 4801: Otključavanje opreme (sigurnosni događaj)
Možemo pristupiti pregledniku događaja pomoću bilo koje od sljedećih opcija:
- Desnom tipkom miša kliknite ikonu početka
POVEĆAJTE
[color = rgb (169,169,169)] Kliknite na sliku za povećanje [/ color]
Kako bismo pregledali gore navedene događaje odabrat ćemo opciju Security na kartici Windows Logs:
POVEĆAJTE[color = rgb (169,169,169)] Kliknite na sliku za povećanje [/ color]
Dalje ćemo dati kliknite na opciju Filtriraj trenutni dnevnik kako biste mogli filtrirati prema ID -u događaja. Moramo unijeti ID ili ID -ove koje želimo provjeriti, jednostavno unosimo vrijednost (u ovom primjeru 4624) u polje Enter ID:
Pritišćemo u redu i vidjet ćemo sljedeći rezultat:
POVEĆAJTE[color = # a9a9a9] Kliknite na sliku za povećanje [/ color]
Tamo možemo odabrati bilo koji događaj kako bismo analizirali sve vaše podatke:
U gornjem dijelu možemo vidjeti korisnika koji se prijavio, domenu u koju se povezao i ostale parametre, u donjem dijelu možemo vidjeti vrstu revizije, datum i vrijeme događaja, opis događaja i drugi aspekti.
Ovuda stvorili smo politiku revizije na razini prijave i odjave što će nam omogućiti potpuno upravljanje i u svakom trenutku podatke o tome koji su se korisnici i kada su prijavili na Windows Server 2016 te odatle utvrditi je li došlo do izmjena u sustavu.
