Включение аудита (часть 2)

Для каждой категории аудита, рассмотренной ранее, существует только одна политика. Каждая политика содержит три возможных параметра: Нет аудита (No Auditing), Аудит успехов (Success) и Аудит отказов (Failure). Значение по умолчанию для каждой политики - Нет аудита, поэтому не требуется выполнять никаких действий, если не нужен аудит определенной категории. В противном случае дважды щелкните по политике, чтобы открыть диалоговое окно Свойства (Properties), как показано на рис. 13.2.

При включении аудита следует понимать, что можно проводить аудит двух типов событий, успехов и отказов. Не нужно проводить аудит обоих событий в указанной категории. К примеру, используйте аудит только событий отказов входа в систему, чтобы предотвратить попытки проникновения в систему или для идентификации пользователей, у которых возникли трудности с запоминанием пароля (либо учетных записей, которые используются для попытки взлома), но не проводите аудит успешных входов в систему. А возможно, потребуется записывать, когда пользовать вошел в систему и с какого компьютера, но не нужна запись неудачных попыток входа. В таком случае следует проводить в этой категории аудит успехов, а не отказов.

Когда будете разбираться с политиками аудита и решать, в какой категории проводить аудит и какой типа аудита выбрать, помните, что аудит серьезно увеличивает объем журнала. Поэтому следует проводить аудит только тех типов событий, которые имеют большое значение для системы, сети или нужд безопасности. В противном случае можно потерять много времени, очищая журналы или перелопачивая записи в поисках той, которая нужна.