Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

AD DS-Überwachung 265
Dasselbe gilt, wenn Sie Verzeichnisdienständerungen deaktivieren, aber Verzeichnisdienstzugriff
aktivieren.
Leider gibt es kein GUI-Tool, um die Überwachungsrichtlinien-Unterkategorien anzusehen
oder zu verwalten. Sie müssen das Befehlszeilentool Auditpol.exe verwenden, wenn Sie die
Unterkategorien von Überwachungsrichtlinien anzeigen oder ändern möchten. Der folgende
Befehl aktiviert die Überwachungsunterkategorie Verzeichnisdienständerungen:
auditpol /set /subcategory:"Verzeichnisdienständerungen" /success:enable
Hinweis Mit dem Befehl auditpol /get /category:* können Sie sich eine Liste aller Kategorien und
ihre aktuellen Einstellungen anzeigen lassen.
SACL
SACL ist der Teil in der Sicherheitsbeschreibung eines Objekts, der festlegt, welche Operationen
überwacht werden. Um die Überwachung von Verzeichnisdienstereignissen zu aktivieren,
müssen Sie die Überwachung für die entsprechende Unterkategorie von Ereignissen
aktivieren und außerdem eine passende SACL konfigurieren. Falls Sie zum Beispiel Änderungsüberwachungsereignisse
aufzeichnen wollen, muss ein Zugriffssteuerungslisteneintrag
(Access Control List Entry, ACE) in der SACL vorhanden sein und die Überwachung für die
Unterkategorie Verzeichnisdienständerungen muss aktiviert sein. Dieser ACE definiert, dass
Attributänderungen aufgezeichnet werden, sogar wenn die Unterkategorie Verzeichnisdienständerungen
aktiviert ist. Was das bedeutet, beschreibe ich am Beispiel des mobile-Attributs
(Rufnummer im Feld Mobil).
Falls es keinen ACE in einer SACL gibt, der Eigenschaft schreiben-Zugriff auf das mobile-
Attribut erfordert, werden keine Überwachungsereignisse generiert, wenn das mobile-
Attribut geändert wird. Das gilt sogar dann, wenn die Unterkategorie Verzeichnisdienständerungen
aktiviert ist.
Weitere Informationen zu SACLs und Überwachung finden Sie in Kapitel 8.
Schema
Falls Sie alle Ereignisse überwachen, wird eine enorme Zahl von Ereignissen generiert.
Daher wird dies nicht empfohlen. Um dieses Problem zu vermeiden, erlaubt Ihnen ein zusätzliches
Steuerelement im Schema, Ausnahmen zu definieren, die festlegen, was nicht
überwacht wird. Falls Sie zum Beispiel Änderungen an allen Attributveränderungen eines
Benutzerobjekts sehen, aber ein oder zwei Attribute ausnehmen wollen, können Sie mit der
Eigenschaft searchFlag des Attributs definieren, ob es überwacht werden soll. Dies ist ein
Flag, das Sie im Schema für das Attribut setzen können. Die searchFlags-Eigenschaft jedes
Attributs definiert eine Reihe von Verhaltensweisen für das jeweilige Attribut. Falls Bit 9
(Wert 256) für ein Attribut gesetzt ist, protokolliert AD DS keine Änderungsereignisse, wenn
dieses Attribut geändert wird. Lesen Sie sich aber bitte die Microsoft-Onlinedokumentation
unter http://msdn2.microsoft.com/en-us/library/ms679765.aspx durch, bevor Sie den search-
Flags-Wert ändern. Dies kann nämlich große Auswirkungen auf Ihre AD DS-Implementierung
haben.