Спектр

При помощи групповых политик аудита и средства просмотра событий можно осуществлять мониторинг действий в домене Active Directory. Однако штатные средства операционной системы Windows стремительно теряют свою эффективность при значительном росте числа событий. Данную проблему можно решить при помощи системы контроля неструктурированных данных «Спектр». С ее помощью можно быстро и эффективно отслеживать события в домене Active Directory, существенно экономя время специалиста.

«Спектр» способен обрабатывать следующие события Active Directory:

Рассмотрим возможность аудита домена Active Directory на практических сценариях сначала при помощи штатных средств мониторинга событий операционной системы Windows Server 2016, а затем сравним их с возможностями системы «Спектр».

Первый сценарий состоит из аудита событий, возникающих при добавлении пользователя Манилова в домен Active Directory. При обращении к штатному средству просмотра событий будут видны следующие записи:

Аналогичные события, но уже в системе «Спектр»:

Запись действий специалиста, проводящего аудит данных событий сначала в штатном средстве просмотра событий ОС Windows, а затем в системе «Спектр»:

Второй сценарий состоит из аудита событий, возникающих при создании группы и добавлении в нее пользователя в домене Active Directory. При обращении к штатному средству просмотра событий будут видны следующие записи:

Аналогичные события, но уже в системе «Спектр»:

Детализация события добавления в группу в системе «Спектр»:

Запись действий специалиста, проводящего аудит данных событий сначала в штатном средстве просмотра событий ОС Windows, а затем в системе «Спектр»:

Третий сценарий состоит из аудита событий, возникающих при неправильной авторизации пользователя в домене Active Directory, приводящих к блокировке его учетной записи. При обращении к штатному средству просмотра событий будут видны следующие записи:

Аналогичные события, но уже в системе «Спектр»:

Детализация события блокировки учетной записи в системе «Спектр»:

Запись действий специалиста, проводящего аудит данных событий сначала в штатном средстве просмотра событий ОС Windows, а затем в системе «Спектр»:

Четвертый сценарий состоит из аудита событий, возникающих при регулярной работе с доменом Active Directory и включает в себя самые разнообразные события. При обращении к штатному средству просмотра событий будут видны следующие записи:

Аналогичные события, но уже в системе «Спектр»:

Запись действий специалиста, проводящего аудит данных событий сначала в штатном средстве просмотра событий ОС Windows, а затем в системе «Спектр»:

При выполнении четвертого сценария становится очевидным, что штатное средство просмотра событий Windows становится малоэффективными ввиду необходимости знания кодов событий, отсутствия оценки важности события и вывода важной информации о действии в заголовок события. Все это существенно увеличивает затрачиваемое специалистом время на аудит.

Система «Спектр» обладает возможностью собирать и агрегировать большое количество информации из Active Directory. На данный момент пользователю доступны девять предустановленных шаблонов отчетов:

В качестве примера были составлены три вида отчетов: «Компьютеры», «Список неактивных учетных записей» и «Список сотрудников с постоянным паролем».

Отчет по компьютерам:

Отчет по неактивным учетным записям:

Отчет по сотрудникам с постоянным паролем:

Генерация отчетов не ограничена только предустановленными вариантами. Пользователь может создать собственный отчет в соответствии с необходимыми для него параметрами.

В качестве примера был составлен шаблон отчета действий средней и высокой важности совершенных главным администратором за февраль. При помощи конструктора фильтров в аудите Active Directory, отфильтруем события средней и высокой важности, выполненные от имени администратора, при этом отбросим события входа/выхода.

• Время: май;
• Сотрудник: SPECTRTEST\Администратор;
• Уровень важности: средний или высокий;
• Действие: все, кроме входа и выхода из системы.

Полученные результаты работы фильтра можно рассмотреть непосредственно в меню аудита Active Directory:

Добавим данный фильтр в шаблоны для отчетов. Для этого необходимо нажать на клавишу «Сохранить как отчет» и задать необходимые параметры:

После этого отчет будет создан и добавлен в группу «Пользовательские отчеты» в разделе отчетов:

При необходимости данный отчет может быть сохранен в форматах pdf, csv, xlsx, html.

К сожалению, штатные средства фиксации событий операционной системы Windows Server 2016 не могут предоставить подобные средства построения отчетов.

Штатное средство просмотра событий, при настроенных групповых политиках безопасности, позволяет проводить аудит любых событий в домене Active Directory. Однако перегруженность интерфейса, необходимость знания кодов событий, отсутствие оценки важности события и вывода важной информации о действии в заголовок события не позволяет делать это быстро и эффективно. Система контроля неструктурированных данных «Спектр» позволяет специалисту проводить аудит домена Active Directory эффективно, своевременно ликвидируя проблемы безопасности и рационализируя затрачиваемое специалистом время.

Автор статьи: Антон Кобяков, инженер TS Solution