Aby w systemie Windows Server zarejestrować udane i nieudane próby logowania użytkowników oraz operacje na zasobach dyskowych, należy skonfigurować dziennik
A. ustawień.
B. aplikacji i usług.
C. systemu.
D. zabezpieczeń.
Pytanie z egzaminu CKE, styczeń 2021 (arkusz EE.08-SG-21.01).
W systemie Windows Server właściwym miejscem do rejestrowania udanych i nieudanych logowań oraz dostępu do zasobów dyskowych jest dziennik zabezpieczeń, czyli Security Log w Podglądzie zdarzeń. To właśnie tam trafiają zdarzenia związane z audytem bezpieczeństwa: logowanie lokalne i domenowe, użycie kont uprzywilejowanych, zmiany uprawnień, dostęp do plików i folderów, a także nieudane próby uzyskania dostępu. W praktyce samo istnienie dziennika nie wystarczy, trzeba jeszcze włączyć odpowiednie zasady inspekcji, np. przez Zasady zabezpieczeń lokalnych albo GPO w domenie Active Directory. Dla logowań używa się kategorii typu Logon/Logoff, a dla operacji na plikach trzeba skonfigurować Object Access oraz listy SACL na konkretnych folderach NTFS. Moim zdaniem to jeden z tych tematów, które brzmią prosto, ale w administracji serwerem są bardzo ważne. Dobra praktyka branżowa mówi, żeby audytować zdarzenia istotne dla bezpieczeństwa, ale nie wszystko jak leci, bo dziennik może szybko się zapełnić i zrobi się szum informacyjny. W firmie taki dziennik pomaga wykryć np. próby zgadywania hasła, dostęp do poufnych katalogów albo działania administratora po godzinach pracy.
W tym pytaniu łatwo pomylić różne dzienniki systemu Windows, bo wszystkie są widoczne w Podglądzie zdarzeń i na pierwszy rzut oka wyglądają podobnie. Dziennik systemu służy głównie do informacji o pracy samego systemu operacyjnego, sterowników, usług systemowych, kontrolerów dysków, problemów ze startem usług czy błędów sprzętowo-systemowych. Znajdziesz tam na przykład awarię usługi, problem z dyskiem albo komunikat sterownika sieciowego, ale nie jest to podstawowe miejsce do audytu logowań użytkowników i dostępu do plików. Określenie dziennik ustawień też bywa mylące, bo w typowej administracji Windows Server nie wskazuje ono standardowego dziennika odpowiedzialnego za audyt bezpieczeństwa. Ustawienia zasad audytu konfiguruje się w GPO albo w lokalnych zasadach zabezpieczeń, ale same zdarzenia audytowe trafiają do Security Log. Dziennik aplikacji i usług jest z kolei przeznaczony dla programów, ról systemowych i usług, które zapisują własne komunikaty diagnostyczne, np. związane z usługą DNS, IIS, Hyper-V czy konkretną aplikacją serwerową. Typowy błąd myślowy polega na tym, że skoro operacja dotyczy pliku albo logowania do systemu, to ktoś szuka jej w dzienniku systemowym lub aplikacyjnym. W Windows Server rozdziela się jednak diagnostykę techniczną od audytu bezpieczeństwa. Rejestrowanie udanych i nieudanych prób logowania oraz kontroli dostępu do zasobów dyskowych to element polityki bezpieczeństwa, dlatego używa się dziennika zabezpieczeń, najlepiej razem z poprawnie skonfigurowaną zaawansowaną polityką audytu i uprawnieniami NTFS.