Использование украденного пароля

Чтобы узнать, когда злоумышленник вошел в систему с использованием украденного пароля, проведите аудит события успешного ахода с использованием учетной записи. Поскольку аудит события входа с использоаанием учетной записи отобразит все успешные входы авторизованными пользователями, потребуется провести небольшую сыскную работу для отделения авторизованных входов в систему от неавторизованных.

При обнаружении неавторизованного входа оцените ущерб и подумайте об эффективных контрмерах. В крайнем случае, проведите замену пароля учетной записи. Если обнаружена возможность неавторизованных входов, заставьте всех пользователей немедленно сменить пароли.

Неавторизованное использование компьютеров

Чтобы найти пользователей, работающих на компьютере, на который у них нет прав (к примеру, рабочая станция в другой части сети), проведите аудит событий успешного входа с использованием учетной записи. При обнаружении неавторизованного использования компьютеров закройте лазейку, сменив соответствующую политику.

Злоупотребление пользовательскими правами

Для обнаружения пользователей, злоупотребляющих своими правами, проведите аудит успешного использования определенных прав. Уменьшите или снимите соответствующие права провинившегося пользователя.

Внимание Не проводите аудит постоянно используемых прав. Это приведет к появлению колоссального количества данных, и вам потребуется перелопатить множество правомерных действий, чтобы найти злоупотребление.