Bereinigung von AD-Auditereignissen verwalten

Die Bereinigung löscht anhand von Ereigniskategorie und Aufbewahrungsdauer passende historische Ereignisdetails und zugehörige Originalinhalte in Ping64. Bereits erzeugte aggregierte Statistiken bleiben erhalten, sodass deren Anzahl von den noch sichtbaren Details abweichen kann. Bereinigt werden Plattformdaten, nicht die Sicherheitsprotokolle der Domänencontroller; verlorene Datensätze lassen sich dadurch nicht wiederherstellen.

Die Bereinigung löscht Daten. Regeln wirken auf passende Datensätze mehrerer Domänen der aktuellen Organisation, nicht nur auf die gerade angezeigte Domäne. Prüfen Sie vor der Ausführung alle betroffenen Domänen, Kategorien und Aufbewahrungsanforderungen. Ein Abbruch stellt bereits gelöschte Datensätze nicht wieder her. Wenn Nachweise aufzubewahren sind, bestätigen Sie vorab verfügbare Sicherungen und ein Wiederherstellungsverfahren gemäß den Organisationsrichtlinien; setzen Sie keine automatische Wiederherstellung voraus.

Vorbereitung

1. Prüfen Sie die Lizenz für AD-Domänenverwaltung und die Rechte zum Anzeigen und Ändern der Bereinigungsregeln. Manuelles Starten oder Abbrechen erfordert zusätzlich die entsprechende Ausführungsberechtigung. Klären Sie mit den Datenverantwortlichen die Anforderungen für Audit, Compliance und Untersuchungen aller betroffenen Domänen.
2. Prüfen Sie anhand von Erfassung und Ansicht der Sicherheitsereignisse, wofür die Datensätze benötigt werden und welche Originalnachweise aufzubewahren sind. Berücksichtigen Sie laufende Untersuchungen und rechtliche Sicherungspflichten. Bereinigung und Ereigniserfassung haben getrennte Einstellungen; das Stoppen der Erfassung schützt historische Daten nicht automatisch vor Bereinigung.
3. Führen Sie genehmigte Änderungen im Wartungsfenster durch. Bestätigen Sie vorher Sicherung und Wiederherstellung und planen Sie die Kontrolle nach der Ausführung. Wenn Auswirkungen oder aufzubewahrende Nachweise unklar sind, aktivieren Sie keine Regeln und starten Sie keine Bereinigung.

Aufbewahrungsregeln nach Kategorie

1. Öffnen Sie in der AD-Domänenverwaltung Audit Event Cleanup. Prüfen Sie je Kategorie aktuelle Anzahl, geschätzte abgelaufene Anzahl, Bereinigungsstatus und Retention Days. Dazu gehören etwa Anmeldeauthentifizierung, Benutzerkontenverwaltung, DNS-Audit und weitere angezeigte Kategorien; maßgeblich ist die tatsächliche Liste.
2. Aktivieren Sie Enable cleanup nur für genehmigte Kategorien und setzen Sie deren Aufbewahrungsdauer auf 1 bis 3650 Tage. Anfangs sind die Regeln deaktiviert und auf 180 Tage gesetzt; bestehende Konfigurationen können abweichen. Eine deaktivierte Kategorie nimmt an der Bereinigung nach dieser Regel nicht teil.
3. Prüfen Sie alle Schalter und Tage und wählen Sie Save rules. Schlägt das Speichern durch gleichzeitige Änderungen anderer Administratoren fehl, aktualisieren Sie die Ansicht, prüfen Sie neueste Konfiguration und Auswirkungen und ändern Sie sie erneut gemäß Freigabeprozess. Nicht blind überschreiben.

Vorschau und manuelle Bereinigung

1. Wählen Sie nach dem Speichern Clean up now. Eine gültige Vorschau erfordert mindestens eine aktivierte Regel; speichern und prüfen Sie ungespeicherte Änderungen zuerst. Das Öffnen der Vorschau löscht noch keine Daten.
2. Prüfen Sie unter Confirm immediate cleanup jede Kategorie, Aufbewahrungsdauer, den Stichtag und die geschätzte Löschanzahl sowie die Gesamtschätzung. Die Vorschau verwendet Daten und Regeln zum Vorschauzeitpunkt; bei Einreichung wird der Ausführungsbereich erneut bestimmt. Tatsächliche Zahlen können abweichen; die Schätzung ist keine fixierte Löschliste.
3. Wenn die Auswirkungen genehmigt und Sicherung sowie Wiederherstellung bestätigt sind, wählen Sie Confirm cleanup, andernfalls brechen Sie ab und bewerten erneut. Erfolgreiche Einreichung bedeutet nicht, dass die Löschung abgeschlossen ist.
4. Öffnen Sie Cleanup runs und prüfen Sie Status und Details sowie gescannte und gelöschte Zahlen, Fehler und Ergebnisse je Kategorie. Aufgaben können warten, laufen, erneut versuchen, fehlschlagen, teilweise fehlschlagen, abschließen oder abgebrochen werden. Reichen Sie dieselbe Bereinigung vor Klärung des Endzustands nicht erneut ein.

Automatische Bereinigung und Abbruch

1. Öffnen Sie für regelmäßige Bereinigung Automatic cleanup settings, aktivieren Sie Enable daily automatic cleanup, setzen Sie Daily execution time und speichern Sie. Ausgeführt wird nach lokaler Serverzeit; prüfen Sie zuerst Zeitzone, Wartung und aktivierte Regeln. Anfangs ist die Automatik deaktiviert; bei bestehenden Einstellungen gilt die Anzeige.
2. Automatische Aufgaben verwenden die bei ihrer Erstellung aktivierten Kategorienregeln. Prüfen Sie nach Änderung oder Deaktivierung sowohl Regeln als auch Automatik. Das Abschalten einer Einstellung storniert bereits eingereichte Aufgaben nicht automatisch.
3. Bei wartenden, laufenden oder auf Wiederholung wartenden Aufgaben können Sie unter Cleanup runs den Abbruch wählen und bestätigen. Prüfen Sie danach Endstatus und Löschanzahl. Die Verarbeitung erfolgt in Stapeln: Der Abbruch stellt Gelöschtes nicht wieder her und stoppt einen bereits laufenden Stapel nicht garantiert sofort.

Kontrolle und Fehlersuche

• Fehlen erwartete Vorschauergebnisse, prüfen Sie aktivierte Kategorien, Aufbewahrungstage, Stichtag und vorhandene geeignete historische Datensätze. Manche Datensätze erfüllen die Löschbedingungen noch nicht; das Alter allein garantiert keine Löschung.
• Prüfen Sie bei Fehler oder Teilfehler die Kategorieergebnisse und Meldungen und klären Sie bereits erfolgte Löschungen, bevor Sie nach Organisationsprozess fortfahren. Wiederholen Sie nicht ungeprüft und verkürzen Sie nicht die Aufbewahrung, um mehr Daten zu löschen.
• Fragen Sie nach Abschluss bei Bedarf Sicherheitsereignisse erneut ab und vergleichen Sie den Laufbericht. Aggregate können erhalten bleiben. Fehlende Plattformdetails bedeuten weder eine Löschung der Originalprotokolle des Controllers noch das Vorhandensein einer wiederherstellbaren Sicherung.