Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

262 Kapitel 9: Optimieren der Active Directory-Domänendienste für Sicherheit
Bei der Fehlerüberwachung wird ein Überwachungseintrag generiert, wenn ein Benutzer
erfolglos versucht, auf ein Objekt zuzugreifen, für das eine SACL definiert ist.
Bisher zeichnete die AD DS-Überwachung nur den Namen des Attributs auf, das geändert
wurde. Erst in Windows Server 2008-AD DS werden der bisherige und der neue Wert des
Attributs protokolliert. Das hilft Ihnen, Änderungen und bisherige Werte zu ermitteln, sodass
die Ereignisprotokolle noch nützlicher dabei werden, Änderungen über die Lebensdauer
eines Objekts nachzuverfolgen.
Überwachen von AD DS-Zugriffen
Sie wissen vielleicht, dass Windows 2000 Server und Windows Server 2003 nur eine
Überwachungsrichtlinie hatten (Verzeichnisdienstzugriff überwachen), die steuerte, ob die
Überwachung für Verzeichnisdienstereignisse aktiviert oder deaktiviert war. In Windows
Server 2008 ist diese Richtlinie in vier Unterkategorien untergliedert:
Verzeichnisdienstzugriff
Verzeichnisdienständerungen
Verzeichnisdienstreplikation
Detaillierte Verzeichnisdienstreplikation
Wenn Sie Änderungen an Objekten überwachen wollen, müssen Sie die Unterkategorie
Verzeichnisdienständerungen aktivieren. Tabelle 9.1 listet die Operationen auf, die überwacht
werden können.
Tabelle 9.1 AD DS-Operationen
Typ Ereignis-ID Beschreibung
Ändern 5136 Wird aufgezeichnet, sobald ein Attribut erfolgreich geändert wurde.
Erstellen 5137 Wird aufgezeichnet, wenn ein neues Objekt erstellt wurde.
Löschen rück-
gängig machen
5138 Wird aufgezeichnet, wenn ein gelöschtes Objekt wiederhergestellt wird.
Verschieben 5139 Wird aufgezeichnet, wenn ein Objekt innerhalb der Domäne verschoben wird.
Hinweis Die Löschoperation ist in Wirklichkeit eine Änderungsoperation. Das Attribut isDeleted wird auf
True gesetzt, wenn ein Objekt gelöscht wird.
Diese Operationen sind Änderungen, die an einem Objekt durchgeführt werden. Die entsprechenden
Ereignisse werden im Sicherheitsprotokoll aufgezeichnet.
Als Beispiel ändere ich in der Konsole Active Directory-Benutzer und -Computer das Büro-
Attribut für einen Benutzer namens Jimmy Andersson. Daraufhin tauchen die zwei folgenden
Ereignisse im Sicherheitsprotokoll auf:
1. Das erste Ereignis teilt mit, dass ich den Wert für das Attribut physicalDeliveryOffice-
Name gelöscht habe. Dies ist der tatsächliche Attributname, in dem das Büro-Feld in der
Konsole Active Directory-Benutzer und -Computer seine Werte speichert.
Ein Verzeichnisdienstobjekt wurde geändert.
Antragsteller:
Sicherheits-ID: SECRESKIT08\Administrator