AD-Sicherheitsereignisse erfassen und prüfen

Die AD-Sicherheitsereignisprüfung zeigt unter anderem Authentifizierungs-, Konto- und Verzeichnisänderungen aus Sicherheitsprotokollen der Domänencontroller. Sie unterscheidet sich von Platform Operations, das über Ping64 ausgeführte Domänenoperationen dokumentiert: Sicherheitsereignisse hängen davon ab, was der Controller erzeugt und was erfasst wurde; Plattformdatensätze beschreiben den Operationsablauf. Beide ersetzen einander nicht.

Vorbereitung

1. Prüfen Sie die Lizenz für AD-Domänenverwaltung sowie die Berechtigung des Administrators zum Anzeigen und Ändern der Erfassungskonfiguration. Eine manuelle Erfassung erfordert zusätzlich die entsprechende Ausführungsberechtigung. Richten Sie zuerst die Domänenverbindung ein, prüfen Sie aktivierte Zieldomäne und korrekte Verbindungsdaten und stellen Sie eine verfügbare Windows-Laufzeit für die Domänenverbindung sicher.
2. Klären Sie mit dem Domänenadministrator, ob die Zielcontroller erreichbar sind und das Verbindungskonto die Sicherheitsprotokolle lesen darf. Stellen Sie nach den Windows-Auditvorgaben der Organisation sicher, dass die benötigten Ereignisse auf den Controllern aufgezeichnet werden. Die Auswahl von Erfassungsbereichen in Ping64 beweist nicht, dass die Controller diese Ereignisse erzeugt haben.
3. Legen Sie Domänen, Ereigniskategorien, Aufbewahrungs- und Datenschutzanforderungen fest. Die Erfassung wird je Domäne konfiguriert; prüfen Sie vor Änderungen die Auswirkungen auf bestehende Erfassung und Speicher. Sollen Originalereignisdaten aufbewahrt werden, klären Sie zuerst Genehmigung und Aufbewahrung. Die Ansicht der Originalnachweise erfordert ebenfalls die entsprechende Ausführungsberechtigung.

Erfassung konfigurieren

1. Öffnen Sie unter AD-Domänenverwaltung Audit Events > Security Events und wählen Sie Collection Config. Wählen Sie in den Grundinformationen eine aktivierte Source Domain und prüfen Sie Collection Interval (sec) und Batch Size. Bei neuen Domänen ist die Sicherheitsereigniserfassung zunächst deaktiviert; die Anfangswerte betragen 300 Sekunden und 500 Datensätze. Bestehende Domänen können abweichen; maßgeblich sind die angezeigten Werte.
2. Aktivieren Sie unter Security Event Audit die Option Enable Security Event Collection und wählen Sie mindestens einen zum Ziel passenden Bereich. Für Identitätsanmeldungen wählen Sie beispielsweise Authentication audit, für Benutzeränderungen Account change audit. Die Auswahl bestimmt den Erfassungsbereich und ersetzt nicht die Auditeinstellungen des Domänencontrollers.
3. Prüfen Sie, ob Keep original event data erforderlich ist, und speichern Sie. Öffnen Sie die Konfiguration erneut und kontrollieren Sie Quelldomäne, Schalter und Bereiche. Eine erfolgreiche Speicherung bedeutet nicht, dass eine Erfassung bereits gelaufen ist oder Ereignisse entstanden sind.
4. Für eine sofortige Prüfung kontrollieren Sie die Quelldomäne in den Grundinformationen der Konfiguration und wählen Run collection. Prüfen Sie nach der Einreichung Status und Ergebnis unter Collection Runs. Ein Lauf kann warten, laufen oder fehlschlagen; Einreichung bedeutet nicht Abschluss. Bei unklarem Status nicht wiederholt einreichen.

Das gespeicherte Erfassungsintervall wird auf 60 bis 86400 Sekunden (1 Minute bis 24 Stunden) begrenzt; übermittelte Werte außerhalb dieses Bereichs werden auf die jeweilige Grenze angepasst. Die gespeicherte Stapelgröße liegt zwischen 1 und 2000: Wird ein Wert unter 1 übermittelt, wird er auf 500 gesetzt; über 2000 wird er auf 2000 begrenzt. Der angezeigte Eingabebereich kann vom gespeicherten Ergebnis abweichen. Öffnen Sie die Konfiguration nach dem Speichern erneut und prüfen Sie sie. Intervall und Stapelgröße garantieren weder eine zeitgerechte Anzeige noch die vollständige Verarbeitung eines Rückstands in einem Lauf.

Prüfen und anzeigen

1. Führen Sie in einer genehmigten Testumgebung eine erkennbare Aktion aus, die zum gewählten Bereich passt, beispielsweise eine Anmeldung mit einem Testkonto. Notieren Sie tatsächliche Zeit, Domänencontroller und Konto. Lösen Sie keine Sperren oder zerstörerischen Ereignisse mit Produktionskonten aus.
2. Wählen Sie nach Ereigniserzeugung und Erfassungsabschluss unter Security Events Datum, Domäne und weitere passende Filter, suchen Sie und öffnen Sie die Details. Vergleichen Sie Zeit, Controller, Konto, Ereigniskategorie und Ergebnis mit der Aktion; prüfen Sie nötigenfalls weitere Seiten.
3. Öffnen Sie unter Audit Events bei Bedarf Berichte zu Authentifizierung, Konto- oder Gruppenänderungen und berücksichtigen Sie deren Umfang sowie die Ereignisdetails. Controller-Authentifizierungsdatensätze zeigen die Aktivitäten der erfassten Controller, nicht die vollständigen lokalen Anmeldungen aller Mitgliedsserver oder Arbeitsstationen.
4. Prüfen Sie bei einer von Ping64 ausgelösten Domänenänderung zusätzlich den zugehörigen Datensatz unter Audit Events > Platform Operations. Vergleichen Sie Einreichungszeit, Zielobjekt und Ergebnis getrennt mit dem Sicherheitsereignis. Eine erfolgreiche Plattformoperation beweist nicht, dass das Controllerereignis bereits erzeugt oder erfasst wurde.

Authentifizierung und Verzeichnisobjekte prüfen

Die Themen behandeln Authentifizierung, Anmelderisiken sowie Konto- und Verzeichnisänderungen. Login Risks umfasst bestimmte fehlgeschlagene Authentifizierungen und belegt keine Kompromittierung. Änderungen der Gruppenmitgliedschaft und der Gruppe selbst sind getrennte Themen.

1. Richten Sie wie oben die Sicherheitsereigniserfassung für die Domäne ein und wählen Sie die zum Untersuchungsziel passenden Bereiche für Authentifizierung, Anmelderisiko, Konto, Kennwort, Computerkonto, Gruppenmitgliedschaft, Gruppe oder OU. Prüfen Sie Protokollerzeugung und Leserechte des Verbindungskontos; speichern und prüfen Sie die Erfassungsläufe.
2. Wählen Sie unter AD Domain Management > Audit Events je nach Ziel Authentication, Login Risks, Account Changes, Password Operations, Computer Account Changes, Group Membership Changes, Group Changes oder OU Changes.
3. Wählen Sie Domäne und Datum. Nutzen Sie angebotene Filter für Konto, Zielobjekt, Domänencontroller, Aktion oder Ergebnis. Öffnen Sie Details und gleichen Sie Zeit, Objekt, verfügbares Ergebnis und weitere Belege ab. Filter und Details unterscheiden sich je Thema.
4. Prüfen Sie bei fehlenden Ereignissen Controllerprotokolle, Erfassungsbereiche und -läufe, Rechte, Datum und Filter. Eine leere Liste beweist weder das Ausbleiben von Aktionen noch die Abdeckung aller Controller und Zeiträume. Lassen Sie Tests genehmigen; verändern Sie Produktionskonten oder Verzeichnisse nicht nur zur Ereigniserzeugung.

GPO-Änderungen prüfen

Der Bericht kombiniert Verzeichnis- und Richtlinienvergleiche mit erfassten Sicherheitsereignissen. Er belegt weder die Anwendung auf Endgeräten noch die Vollständigkeit früherer Vorgänge.

1. Aktivieren Sie wie unter Erfassung konfigurieren beschrieben die Sicherheitsereigniserfassung für die Zieldomäne und wählen Sie GPO change audit. Prüfen Sie Ereigniserzeugung gemäß den Auditvorgaben, Leserechte des Verbindungskontos und erfolgreiche Erfassung. Das Speichern allein erzeugt noch keinen bestätigten Vergleichsstand und keine bestätigten Änderungsdatensätze.
2. Wählen Sie unter AD Domain Management > Audit Events den Eintrag GPO Changes. Prüfen Sie Domäne, Zeitraum und Filter. Der anfängliche lokale Zeitraum reicht von vorgestern bis heute. Grenzen Sie bei Bedarf mit Suchbegriff, Quelldomänencontroller, Änderungstyp und Analysestatus ein.
3. Prüfen Sie Setting changes, Scope and permissions und Properties and lifecycle getrennt. Beim Registerwechsel werden Filter zurückgesetzt; prüfen Sie Domäne, Datum und weitere Kriterien erneut. Eine leere Liste sagt nichts über andere Register aus.
4. Öffnen Sie Details und vergleichen Sie Zeitpunkt, Objekt, verfügbare Vorher-nachher-Unterschiede und zugehörige Nachweise. Nutzen Sie bei verfügbaren Einstellungen gegebenenfalls History. Unvollständig analysierte oder angezeigte Inhalte sind anhand der Originalereignisse, tatsächlichen Richtlinie und weiterer Nachweise zu prüfen.
5. Bei Initialisierung oder fehlenden Einstellungsänderungen prüfen Sie Erfassung und Aufbau des Vergleichsstands. Führen Sie anschließend eine autorisierte kontrollierte Änderung durch und warten Sie auf die Erfassung. Der erste Vergleichsstand rekonstruiert nicht alle früheren Änderungen; auch Fehler, Rechte, Zeitraum und Datenbereinigung beeinflussen Ergebnisse.

DNS-Änderungen erfassen und prüfen

DNS-Änderungen verwenden eine separate DNS-Audit-Protokollquelle und nicht denselben Schalter wie Sicherheitsereignisse der Domänencontroller. Klären Sie mit der Domänenadministration, ob die Windows-DNS-Server die benötigten Auditprotokolle erzeugen, die Laufzeit die Server erreichen kann und das Domänenbindungskonto Leserechte besitzt. Dies ist weder die Zero-Trust-DNS-Konfiguration noch eine vollständige Liste von DNS-Abfragen.

1. Öffnen Sie in der AD-Domänenverwaltung unter Audit Events die Sicherheitsereignisse und wählen Sie „Collection Config“. Wählen Sie in den Basisinformationen die Quelldomäne, anschließend DNS-Audit und aktivieren Sie „Enable DNS Audit log collection“.
2. Tragen Sie unter „DNS servers“ die Server ein; trennen Sie mehrere Server gemäß Beispiel durch Kommas. Wählen Sie unter „DNS event categories“ mindestens eine Kategorie wie „Record changes“ und nach Bedarf weitere. Speichern, Konfiguration erneut öffnen und Domäne, Schalter, Server und Kategorien prüfen.
3. Wählen Sie in den Serveraktionen „Test source“ und prüfen Sie je Server Erreichbarkeit, Auditkanal und Leserecht. Ein erfolgreicher Test belegt nur diese Bedingungen zum Testzeitpunkt, nicht die Erzeugung, Erfassung oder vollständige Aufbewahrung von Ereignissen. Für eine Erfassungsprüfung starten Sie unter den Basisinformationen eine manuelle Erfassung und prüfen Status und Ergebnis des Erfassungslaufs.
4. Ändern Sie in einer autorisierten Testumgebung einen kontrollierten DNS-Eintrag und notieren Sie Zeit und Server. Öffnen Sie nach Ereigniserzeugung und abgeschlossener Erfassung unter Audit Events „DNS Changes“; filtern Sie nach Domäne, Datum, Server, Eintragsname und weiteren passenden Kriterien und prüfen Sie Details. Fehlt das Ergebnis, prüfen Sie Ereigniserzeugung, Server, Kategorien, Quelltest, Lauf, Protokollaufbewahrung und Filter. Eine leere Liste allein beweist keine fehlende Änderung.

Setzen Sie die Erfassungsposition nicht unüberlegt zurück: Dies ändert den Startpunkt der weiteren Erfassung und kann die historische Abdeckung beeinflussen. Bewerten Sie die Folgen nach Organisationsverfahren und prüfen Sie die Bestätigung. Erfassung und Abfrage ändern keine DNS-Konfiguration; verwenden Sie für Änderungen das autorisierte DNS-Verfahren.

Vorgänge privilegierter Konten konfigurieren und prüfen

Dieser Bericht gleicht erfasste Verwaltungsvorgänge zum Ereigniszeitpunkt mit dem privilegierten Mitgliederbereich ab. Er ist kein eigener Erfassungsschalter und kein vollständiges Protokoll aller privilegierten Aktivitäten. Konfigurieren Sie zuerst wie oben die Sicherheitsereigniserfassung für die Domäne und wählen Sie die zu den Vorgängen passenden Bereiche. DNS Audit ist eine getrennte Quelle; ihre Einträge erscheinen nicht notwendigerweise in diesem Bericht. Konfigurieren und prüfen Sie DNS-Änderungen wie oben beschrieben separat. Prüfen Sie die Synchronisierung von Benutzern und Gruppen sowie die erforderlichen Lese-, Konfigurations- und Aktionsberechtigungen.

1. Öffnen Sie unter AD Domain Management > Audit Events den Bericht Privileged Account Operations, wählen Sie die Domäne und öffnen Sie Privileged Account Scope. Prüfen Sie integrierte privilegierte Prinzipale und deren Auflösungsstatus; integrierte Prinzipale lassen sich nicht entfernen.
2. Wählen Sie zum Erweitern Add Custom Privileged Principal, suchen Sie synchronisierte Sicherheitsgruppen oder Benutzer nach Name oder Konto und bestätigen Sie die Auswahl. Prüfen Sie den Bereich, wählen Sie Validate und nach erfolgreicher Prüfung Save. Validieren speichert nicht; nach einer Änderung ist erneut zu validieren.
3. Prüfen Sie auf der Bereichsseite den Status des Mitglieder-Snapshots. Für eine Aktualisierung der Mitglieder des gespeicherten Bereichs kann ein Administrator mit Aktionsberechtigung Refresh Member Snapshot wählen. Dies verwendet den gespeicherten Bereich und ersetzt nicht das Speichern offener Änderungen. Prüfen Sie bei Fehlern Domänenverbindung, Synchronisierung, Berechtigungen des Verbindungskontos und die Meldung.
4. Lassen Sie in einer autorisierten Testumgebung ein Konto im Bereich einen genehmigten Verwaltungsvorgang ausführen und warten Sie auf Erzeugung und Erfassung. Filtern Sie im Bericht nach Domäne, Datum, Konto, Vorgangskategorie oder privilegierter Quelle und öffnen Sie die Details. Die Zuordnung erfolgt anhand der gespeicherten Mitgliedergültigkeit zum Ereigniszeitpunkt; aktuelle Mitglieder allein erklären keine historischen Ergebnisse. Eine Rekonstruktion vor Bereichsveröffentlichung oder ohne Snapshot ist nicht garantiert.
5. Prüfen Sie bei fehlenden Ergebnissen getrennt Erzeugung des relevanten Sicherheitsereignisses auf dem Domänencontroller, Erfassungsbereich und Ausführung, gültige Mitgliedschaft des ausführenden Kontos, Snapshot, Datum und Filter. Eine leere Abfrage beweist weder fehlende Vorgänge noch vollständige Abdeckung aller Controller und früheren Zeiträume.

Änderungen der Domänenrichtlinie untersuchen

Diese Ansicht untersucht erfasste Änderungen auf Domänenebene, etwa Passwort- und Kontosperreinstellungen, mit der Ereignisnummer 4739. Sie ist von GPO-Änderungen getrennt und belegt nicht die Anwendung auf allen Endgeräten.

1. Konfigurieren Sie wie oben die Sicherheitsereigniserfassung und wählen Sie Domain policy change audit. Prüfen Sie Ereigniserzeugung, Leserechte und nach dem Speichern den Erfassungslauf.
2. Öffnen Sie unter Auditereignissen der AD-Domänenverwaltung Policy Change Audit. Wählen Sie Domäne und Zeitraum, geben Sie bei Bedarf Ereigniskonto, Controller oder andere verfügbare Kriterien ein und starten Sie die Abfrage.
3. Vergleichen Sie Zeitpunkt, Zieldomäne, Ereigniskonto und verfügbare Richtlinienwerte in den Details mit genehmigten Änderungen und tatsächlichen Domäneneinstellungen. Die Details zeigen nur verfügbare Ereigniswerte; vollständige Vorher-nachher-Werte sind nicht garantiert.
4. Prüfen Sie bei fehlenden Ereignissen Controllerprotokoll, Erfassungsbereich und -lauf, Berechtigungen, Zeitraum und Filter. Ein leeres Ergebnis beweist keine fehlende Änderung. Lassen Sie kontrollierte Tests durch die Domänenadministration genehmigen und ändern Sie Produktionsrichtlinien nicht nur zur Erzeugung von Einträgen.

AD-Objektwiederherstellungen untersuchen

Diese Ansicht untersucht erfasste Verzeichnisobjekt-Wiederherstellungen mit der Ereignisnummer 5138. Sie führt keine Wiederherstellung aus; ein Ereignis beweist nicht, dass Mitgliedschaften, Berechtigungen und Geschäftsfunktionen vollständig wiederhergestellt sind.

1. Konfigurieren Sie wie oben die Sicherheitsereigniserfassung und wählen Sie AD object restore audit. Prüfen Sie Ereigniserzeugung, Leserechte des Verbindungskontos und nach dem Speichern den Erfassungslauf.
2. Öffnen Sie unter Auditereignissen der AD-Domänenverwaltung Object Restores. Wählen Sie Domäne und Zeitraum, geben Sie bei Bedarf Zielobjekt, Ausführungskonto, Controller oder andere verfügbare Kriterien ein und starten Sie die Abfrage.
3. Vergleichen Sie Objekttyp, Ausführungskonto, Zeit und verfügbare Verzeichnispositionen vor und nach der Wiederherstellung mit genehmigten Vorgängen und dem aktuellen Verzeichniszustand. Prüfen Sie Mitgliedschaften, Rechte und Anwendungsverfügbarkeit über autorisierte Verfahren.
4. Prüfen Sie bei fehlenden Ereignissen Erzeugung und Aufbewahrung des Controllerprotokolls, Erfassungsbereich und -lauf, Rechte, Zeitraum und Filter. Ein leeres Ergebnis beweist keine fehlende Wiederherstellung. Löschen oder restaurieren Sie Produktionsobjekte nicht nur zum Testen.

Löschung des Sicherheitsprotokolls untersuchen

Diese Ansicht untersucht erfasste Löschereignisse des Sicherheitsprotokolls von Domänencontrollern und ist von plattformeigenen Datenbereinigungen getrennt. Die Ereignisnummer ist 1102. Ein Eintrag beweist weder die vollständige Erfassung früherer Ereignisse noch stellt er gelöschte Protokolle wieder her.

1. Konfigurieren Sie wie oben die Sicherheitsereigniserfassung für die Domäne und wählen Sie Security Log Clearing. Prüfen Sie Ereigniserzeugung und Leserechte des Verbindungskontos sowie nach dem Speichern das Erfassungsergebnis.
2. Öffnen Sie unter den Auditereignissen der AD-Domänenverwaltung Security Log Clearing. Wählen Sie Domäne und Zeitraum; geben Sie bei Bedarf Ereigniskonto oder Domänencontroller ein und drücken Sie Enter oder verlassen Sie das Feld. Prüfen Sie Zeitpunkt, Controller und verfügbare Kontodaten in den Details.
3. Untersuchen Sie Treffer nach dem Sicherheitsverfahren und sichern Sie weitere Beweise. Prüfen Sie bei leerem Ergebnis Controllerprotokoll, Erfassungsbereich und -lauf, Berechtigungen und Zeitraum. Löschen Sie zu Testzwecken keine Produktionsprotokolle und werten Sie ein leeres Ergebnis nicht als Beweis für fehlende Löschungen.

Änderungen von Verzeichnisberechtigungen untersuchen

Diese Ansicht untersucht erfasste Berechtigungsänderungen an Verzeichnisobjekten mit Ereignisnummer 5136. Sie umfasst nicht alle Datei-, Anwendungs- oder sonstigen Berechtigungsänderungen und berechnet nicht direkt die endgültigen effektiven Rechte eines Benutzers.

1. Konfigurieren Sie wie oben die Sicherheitsereigniserfassung und wählen Sie Directory permission change audit. Prüfen Sie Ereigniserzeugung, Leserechte und den Erfassungslauf nach dem Speichern.
2. Öffnen Sie unter Auditereignissen der AD-Domänenverwaltung Permission Changes. Wählen Sie Domäne und Zeitraum, geben Sie bei Bedarf Zielobjekt, Ausführungskonto, Controller oder andere verfügbare Kriterien ein und starten Sie die Abfrage.
3. Vergleichen Sie in den Details Zeitpunkt, Objekt, Konto, Korrelationsstatus und verfügbare hinzugefügte oder entfernte Zugriffssteuerungseinträge mit genehmigten Änderungen und tatsächlichen Verzeichnisrechten.
4. Fehlen Korrelationsinformationen oder Daten einer Seite oder sind sie nicht auswertbar, kann die angezeigte Differenz unvollständig sein; eine leere Differenz beweist keine unveränderten Rechte. Prüfen Sie bei fehlenden Einträgen Controllerprotokoll, Erfassungsbereich und -lauf, Rechte und Filter. Tests benötigen die Genehmigung der Domänenadministration; ändern Sie Produktionsrechte nicht nur für einen Eintrag.

AD-Konfigurationsänderungen untersuchen

Diese Ansicht untersucht erfasste Ereignisse zu Verzeichniskonfiguration, Schema, Standorten und FSMO-Rollen. Sie ist von Domänenrichtlinien-, GPO- und Plattformvorgangsansichten getrennt. Einträge belegen weder vollständige Änderungshistorie noch Synchronisierung aller Controller.

1. Konfigurieren Sie wie oben die Sicherheitsereigniserfassung und wählen Sie AD configuration change audit. Prüfen Sie Ereigniserzeugung, Leserechte und den Erfassungslauf nach dem Speichern.
2. Öffnen Sie unter Auditereignissen der AD-Domänenverwaltung Configuration Change Audit. Wählen Sie Domäne und Zeitraum und suchen Sie bei Bedarf nach Konfigurationsbereich, Änderungstyp, Objekt, Ausführungskonto oder anderen verfügbaren Kriterien.
3. Vergleichen Sie verfügbare Bereiche, Änderungstypen, Objekte, Attribute, Verzeichnispositionen und Korrelationsstatus in den Details mit genehmigten Änderungen und dem aktuellen Verzeichniszustand. Fehlende Felder oder unvollständige Korrelation beweisen keine unveränderte Konfiguration.
4. Prüfen Sie bei fehlenden Einträgen Controllerprotokoll, Erfassungsbereich und -lauf, Rechte, Zeitraum und Filter. Tests benötigen die Genehmigung der Domänenadministration; ändern Sie Produktionskonfigurationen nicht nur zur Erzeugung von Einträgen.

Fehlende Ergebnisse

• Prüfen Sie Quelldomäne, Datum, Filter und Seite sowie Erfassungsschalter, gewählte Bereiche, Laufstatus und Fehlermeldungen der Zieldomäne.
• Prüfen Sie auf dem Controller, ob das erwartete Ereignis tatsächlich erzeugt wurde und noch im Protokoll vorhanden ist. Kontrollieren Sie Berechtigungen des Verbindungskontos, Erreichbarkeit und Laufzeitumgebung. Nicht erzeugte Ereignisse, gelöschte oder überschriebene Protokolle, fehlende Rechte, Erfassungsfehler oder Rückstände können Lücken oder Verzögerungen verursachen.
• Erfassungsdatensätze, Ereignisse zur Protokolllöschung und Statistiken beweisen jeweils für sich keine vollständige Historie. Schwächen Sie Controller-Auditanforderungen bei der Fehlersuche oder Bereichsänderung nicht eigenmächtig ab und betrachten Sie das Löschen von Datensätzen nicht als Wiederherstellung historischer Daten.