На виробничому сервері «безпека» без доказів — це лише припущення. Належний аудит Windows дає відповіді на практичні питання: хто увійшов у систему, що було змінено, який процес запущено та чи хтось намагався здійснити брутфорс-атаку на RDP.
Якщо ви виконуєте робочі навантаження на VPS під управлінням Windows, увімкнення політики аудиту є одним із найшвидших способів покращити реагування на інциденти та дотриматися вимог відповідності. На VPS-хостингу це також допомагає швидше усувати проблеми, оскільки ви можете співвіднести «що сталося» з «коли це сталося».
Політика аудиту визначає, які дії, що стосуються безпеки, записуються в журнал подій безпеки. Це ваша основна хронологія для:
Поширеною помилкою є увімкнення всіх категорій аудиту, після чого важко розрізнити важливу інформацію серед шуму. Для середовищ VPS кращим підходом є:
Запустіть як адміністратор:
auditpol /get /category:*Якщо ви керуєте сервером за допомогою GPO, пам’ятайте, що політики домену можуть замінити локальні налаштування. На автономному VPS зазвичай достатньо локальних налаштувань.
Сучасна Windows використовує розширену політику аудиту (десятки підкатегорій). Щоб уникнути конфліктів між «застарілими категоріями» та підкатегоріями, увімкніть політику:
Опціонально (автономні сервери): ви також можете застосувати це через реєстр (запустити як адміністратор) і перезавантажити:
reg add "HKLMSYSTEMCurrentControlSetControlLsa" /v SCENoApplyLegacyAuditPolicy /t REG_DWORD /d 1 /fНаступні налаштування забезпечують високий рівень безпеки та усунення несправностей без переповнення журналів. Виконайте ці команди як адміністратор:
:: Logon events (RDP/interactive/service)
auditpol /set /subcategory:"Logon" /success:enable /failure:enable
auditpol /set /subcategory:"Logoff" /success:enable /failure:enable
auditpol /set /subcategory:"Special Logon" /success:enable /failure:disable
:: Account logon (Kerberos/NTLM where applicable)
auditpol /set /subcategory:"Credential Validation" /success:enable /failure:enable
:: Account management (users/groups)
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable
auditpol /set /subcategory:"Security Group Management" /success:enable /failure:enable
:: Policy changes and privilege usage
auditpol /set /subcategory:"Audit Policy Change" /success:enable /failure:enable
auditpol /set /subcategory:"Authorization Policy Change" /success:enable /failure:enable
auditpol /set /subcategory:"Sensitive Privilege Use" /success:enable /failure:enable
:: Process creation (great for incident response)
auditpol /set /subcategory:"Process Creation" /success:enable /failure:disableПримітка: події «Доступ до об’єкта» (файли/реєстр) вимагають двох речей: (1) увімкнення підкатегорії аудиту та (2) налаштування аудиту SACL для фактичної папки/ключа. Без SACL ви можете майже нічого не побачити, навіть якщо «Доступ до об’єкта» увімкнено.
Спочатку увімкніть аудит файлової системи:
auditpol /set /subcategory:"File System" /success:enable /failure:enableПотім налаштуйте аудит (SACL) для папки:
Це правильний спосіб зберегти змістовність журналів: перевіряйте лише те, що має значення.
Показати невдалі спроби входу за останні 24 години:
$since = (Get-Date).AddDays(-1)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=$since} |
Select-Object TimeCreated, Id, Message |
Select-Object -First 30Показати події створення процесів (якщо ввімкнено) та шукати підозрілі імена виконуваних файлів:
$since = (Get-Date).AddHours(-6)
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688; StartTime=$since} |
Where-Object { $_.Message -match 'powershell|cmd.exe|wscript|rundll32' } |
Select-Object TimeCreated, Message |
Select-Object -First 20На серверах, підключених до Інтернету, дуже важливо зберігати журнали довше. Збільште максимальний розмір журналу безпеки (наприклад, до 256 МБ):
wevtutil sl Security /ms:268435456Експортуйте журнал безпеки для архівування або реагування на інциденти:
mkdir C:Logs 2>nul
wevtutil epl Security C:LogsSecurity_$(Get-Date -Format yyyyMMdd_HHmm).evtxЯкщо вам потрібне передбачуване середовище для цих базових рівнів безпеки, почніть з керованого Windows VPS і контролюйте площину доступу за допомогою правил брандмауера хостингу VPS та надійної аутентифікації.
