Narzędziem systemu Windows służącym do sprawdzenia prób logowania do systemu jest dziennik
A. zabezpieczeń.
B. System.
C. aplikacji.
D. Setup.
Pytanie z egzaminu CKE, czerwiec 2018 (arkusz EE.08-X-18.06).
Dziennik zabezpieczeń w Podglądzie zdarzeń systemu Windows jest właściwym miejscem do sprawdzania prób logowania do systemu. To właśnie tam trafiają zdarzenia związane z uwierzytelnianiem użytkowników, blokadami kont, nieudanymi próbami logowania, użyciem uprawnień administracyjnych czy zmianami w zasadach zabezpieczeń. W praktyce administrator bardzo często zagląda tam, gdy trzeba ustalić, czy ktoś próbował zgadywać hasło, czy konto było używane poza normalnymi godzinami pracy albo czy logowanie nastąpiło lokalnie, przez sieć, czy przez pulpit zdalny. Przykładowo zdarzenie 4624 oznacza udane logowanie, a 4625 nieudaną próbę logowania. Moim zdaniem to jedna z tych rzeczy, które warto kojarzyć od razu, bo przy diagnozowaniu incydentów bezpieczeństwa oszczędza sporo czasu. Żeby te informacje były pełne, w systemie powinna być poprawnie skonfigurowana inspekcja, czyli audyt logowania w zasadach zabezpieczeń lokalnych lub w GPO w domenie Active Directory. Dobra praktyka branżowa mówi też, żeby nie tylko przeglądać te logi ręcznie, ale archiwizować je, filtrować i najlepiej przesyłać do centralnego systemu monitorowania, na przykład SIEM. Dzięki temu administrator ma ślad audytowy i może szybciej reagować na podejrzane działania.
W tym pytaniu łatwo pomylić różne dzienniki dostępne w Podglądzie zdarzeń, bo wszystkie wyglądają podobnie i każdy z nich faktycznie przechowuje jakieś informacje diagnostyczne. Dziennik Setup dotyczy głównie instalacji i konfiguracji składników systemu, aktualizacji oraz procesów związanych z wdrażaniem Windows. Można tam znaleźć informacje przydatne po instalacji poprawek albo podczas rozwiązywania problemów z konfiguracją systemu, ale nie jest to właściwe miejsce do analizy prób logowania użytkowników. Dziennik System zawiera zdarzenia generowane przez usługi systemowe, sterowniki, jądro systemu, sprzęt i elementy infrastruktury Windows. Gdy komputer ma problem z dyskiem, usługą, kartą sieciową albo sterownikiem, ten dziennik bywa bardzo pomocny, ale nie prowadzi typowego audytu logowania. Dziennik aplikacji skupia się na komunikatach programów, usług i komponentów użytkowych, więc znajdziesz tam błędy aplikacji, ostrzeżenia programu antywirusowego czy problemy z usługą bazodanową, ale nie pełną historię uwierzytelniania do systemu. Typowy błąd myślowy polega na tym, że skoro logowanie jest zdarzeniem systemowym, to ktoś wybiera dziennik System. W Windows rozdzielono jednak zwykłą diagnostykę systemu od zdarzeń bezpieczeństwa. Próby logowania, zarówno udane, jak i nieudane, są traktowane jako dane audytowe, dlatego trafiają do dziennika zabezpieczeń. Z mojego doświadczenia, przy analizie włamań albo podejrzenia użycia cudzego konta, administrator zaczyna właśnie od Security, filtruje identyfikatory zdarzeń takie jak 4624 i 4625, a dopiero później porównuje je z innymi dziennikami, jeśli trzeba ustalić szerszy kontekst problemu.