Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

222 Kapitel 8: Überwachung
In Windows Server 2008 und Windows Vista wird jedes Sicherheitsereignis einer Überwachungsrichtlinien-Unterkategorie
zugeordnet. Wenn Sie Überwachungsrichtlinien für diese
Unterkategorie aktivieren, werden alle Ereignisse aktiviert, die zu dieser Unterkategorie gehören.
Jede Unterkategorie hat eine Einstellung, mit der Sie aktivieren, dass Ereignisse für
erfolgreiche Aktivitäten generiert werden, und eine Einstellung, mit der Sie aktivieren, dass
Ereignisse für fehlgeschlagene Aktivitäten generiert werden.
Unterkategorien von Überwachungsrichtlinien sind wiederum in dieselben Überwachungsrichtlinienkategorien
untergliedert, die in Windows Server 2003 und älteren Versionen vorhanden
waren. Dies stellt die Kompatibilität sicher. Wenn eine Überwachungsrichtlinienkategorie
aktiviert ist, sind alle Unterkategorien für diese Kategorie und damit die zugehörigen
Ereignisse aktiviert. Und wenn eine Überwachungsrichtlinienkategorie deaktiviert ist, sind
auch alle zugehörigen Unterkategorien und ihre Ereignisse deaktiviert. Abbildung 8.3 zeigt,
wie Überwachungsrichtlinien in Windows Server 2008-Systemen aufgebaut sind.
Abbildung 8.3 Hierarchie der Überwachungsrichtlinien in Windows Server 2008
Überwachungsrichtlinien können mit zwei Tools konfiguriert werden: einer grafischen Benutzeroberfläche,
die von den MMC-Snap-Ins Sicherheitsrichtlinieneditor und Gruppenrichtlinien-Editor
verwendet wird, oder dem Befehlszeilentool AuditPol.exe. Allerdings
kann nur AuditPol.exe Überwachungsrichtlinien auf der Ebene von Unterkategorien festlegen:
Microsoft hat die grafische Benutzeroberfläche für Überwachungsrichtlinien (Abbildung
8.4) nicht so aktualisiert, dass damit Überwachungsrichtlinien-Unterkategorien verwaltet
werden können. Diese Einschränkung betrifft auch den Gruppenrichtlinienmechanismus