Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

230 Kapitel 8: Überwachung
tatsächlich nützliche Informationen liefert. Ist das nicht der Fall, können Sie überlegen, ob
Sie nicht die Richtlinie deaktivieren, die bewirkt, dass dieses Ereignis generiert wird.
Abbildung 8.9 Die Ereignisanzeige kann Sicherheitsereignisse anhand von Aufgabenkategorien
gruppieren
Wenn Sie Ihre Überwachungsrichtlinien ausgewählt, getestet und optimiert haben, können
Sie sich daran machen, die Richtlinien bereitzustellen.
Falls Sie Hilfe beim Entwickeln von Überwachungsrichtlinien benötigen, lesen Sie im Windows
Server 2008 Security Guide die Empfehlungen für Überwachungsrichtlinien. Sie finden
dieses Buch auf der TechNet Security-Website unter http://www.microsoft.com/technet/
security/guidance.
Neue Ereignisse in Windows Server 2008
Windows Server 2008 hat gegenüber älteren Windows-Versionen deutliche Änderungen an
den Ereignissen im Sicherheitsereignisprotokoll aufzuweisen.
Wenn Sie sich die Ereignisanzeige ansehen, dürfte Ihnen als Erstes auffallen, dass die
Nummern der Ereignis-IDs ganz anders aussehen. Die Sicherheitsereignisse wurden neu
nummeriert und auch umstrukturiert. Falls Sie viele Nummern von Sicherheitsereignis-IDs
in Windows auswendig wissen, ist dieses Wissen aber nicht nutzlos geworden. Im Allgemeinen
ist die Ereignis-ID eines Sicherheitsereignisses in Windows Server 2008 um den Wert
4096 höher als das entsprechende Ereignis in Windows Server 2003. Zum Beispiel wurde
das Ereignis zu einer erfolgreichen Anmeldung, ID 528 in Windows Server 2003, zum Ereignis
4624 in Windows Server 2008 (528 + 4096 = 4624). Und das Ereignis zum Ändern