เก็บและตรวจสอบเหตุการณ์ความปลอดภัย AD

การตรวจสอบเหตุการณ์ความปลอดภัย AD แสดงเหตุการณ์ยืนยันตัวตน การเปลี่ยนแปลงบัญชีและไดเรกทอรีที่เก็บจากบันทึกความปลอดภัยของตัวควบคุมโดเมน ซึ่งต่างจาก Platform Operations ที่บันทึกการดำเนินงานโดเมนผ่าน Ping64 เหตุการณ์ความปลอดภัยขึ้นอยู่กับสิ่งที่ตัวควบคุมสร้างและเก็บได้ ส่วนบันทึกแพลตฟอร์มแสดงกระบวนการดำเนินงาน ทั้งสองใช้แทนกันไม่ได้

เตรียมก่อนตั้งค่า

1. ตรวจสอบสิทธิ์ใช้งานการจัดการโดเมน AD และสิทธิ์ผู้ดูแลในการดูและแก้ไขการตั้งค่าการเก็บข้อมูล การเก็บด้วยตนเองต้องมีสิทธิ์ดำเนินการเพิ่มเติม ตั้งค่าการเชื่อมต่อโดเมนก่อน ตรวจสอบว่าโดเมนเป้าหมายเปิดใช้งาน ข้อมูลเชื่อมต่อถูกต้อง และมีสภาพแวดล้อม Windows สำหรับเชื่อมต่อโดเมนที่ใช้ได้
2. ตรวจสอบร่วมกับผู้ดูแลโดเมนว่าติดต่อกับตัวควบคุมเป้าหมายได้ และบัญชีเชื่อมต่อโดเมนมีสิทธิ์อ่านบันทึกความปลอดภัย ตรวจสอบตามข้อกำหนดตรวจสอบ Windows ขององค์กรว่าตัวควบคุมบันทึกเหตุการณ์ที่ต้องการแล้ว การเลือกขอบเขตใน Ping64 ไม่ได้ยืนยันว่าตัวควบคุมสร้างเหตุการณ์นั้น
3. กำหนดโดเมน หมวดเหตุการณ์ ระยะเวลาเก็บรักษาและข้อกำหนดความเป็นส่วนตัว การตั้งค่าเก็บข้อมูลแยกตามโดเมน จึงต้องประเมินผลต่อการเก็บและพื้นที่จัดเก็บเดิมก่อนเปลี่ยน หากต้องเก็บข้อมูลเหตุการณ์ต้นฉบับ ให้ตรวจสอบการอนุมัติและข้อกำหนดเก็บรักษาก่อน การดูหลักฐานต้นฉบับต้องมีสิทธิ์ดำเนินการที่เกี่ยวข้องด้วย

ตั้งค่าการเก็บข้อมูล

1. ในการจัดการโดเมน AD เปิด Audit Events > Security Events แล้วเลือก Collection Config ในข้อมูลพื้นฐานเลือก Source Domain ที่เปิดใช้งาน และตรวจสอบ Collection Interval (sec) กับ Batch Size สำหรับโดเมนใหม่ ค่าเริ่มต้นปิดการเก็บเหตุการณ์ความปลอดภัย โดยมีช่วงเวลา 300 วินาทีและขนาดชุด 500 โดเมนเดิมอาจต่างกัน ให้ตรวจสอบค่าบนหน้าจอ
2. ใน Security Event Audit เปิด Enable Security Event Collection และเลือกอย่างน้อยหนึ่งขอบเขตที่ตรงเป้าหมาย เช่น เลือก Authentication audit สำหรับการเข้าสู่ระบบ หรือ Account change audit สำหรับการเปลี่ยนแปลงผู้ใช้ ตัวเลือกกำหนดขอบเขตเก็บข้อมูล แต่ไม่ทดแทนการตั้งค่าตรวจสอบของตัวควบคุมโดเมน
3. ตรวจสอบตามความจำเป็นว่าจะเปิด Keep original event data หรือไม่ แล้วบันทึก เปิดการตั้งค่าอีกครั้งเพื่อตรวจสอบโดเมนต้นทาง สวิตช์และขอบเขต การบันทึกสำเร็จไม่ได้หมายความว่างานเก็บข้อมูลทำงานแล้วหรือมีการสร้างบันทึกแล้ว
4. หากต้องตรวจสอบทันที ให้ยืนยันโดเมนต้นทางในข้อมูลพื้นฐานของการตั้งค่าแล้วเลือก Run collection หลังส่งงานให้ตรวจสอบสถานะและผลใน Collection Runs งานอาจรอ กำลังทำงานหรือล้มเหลว การส่งสำเร็จไม่ใช่การเก็บเสร็จ อย่าส่งซ้ำขณะยังไม่ทราบสถานะ

ช่วงเวลารวบรวมที่บันทึกถูกจำกัดไว้ที่ 60 ถึง 86400 วินาที (1 นาทีถึง 24 ชั่วโมง) ค่าที่ส่งต่ำหรือสูงกว่าช่วงจะถูกปรับเป็นขอบเขตที่เกี่ยวข้อง ขนาดชุดที่บันทึกอยู่ในช่วง 1 ถึง 2000 หากส่งค่าน้อยกว่า 1 จะปรับเป็น 500 และหากมากกว่า 2000 จะปรับเป็น 2000 ช่วงที่แสดงในช่องป้อนอาจต่างจากผลที่บันทึก จึงควรเปิดการตั้งค่าอีกครั้งหลังบันทึกเพื่อตรวจสอบ ช่วงเวลาและขนาดชุดไม่รับประกันว่าเหตุการณ์จะแสดงตรงเวลาหรือการทำงานครั้งเดียวจะจัดการรายการค้างทั้งหมด

ตรวจสอบและดูผล

1. ในสภาพแวดล้อมทดสอบที่ได้รับอนุญาต ให้ทำการกระทำที่ระบุได้และตรงกับขอบเขต เช่น เข้าสู่ระบบด้วยบัญชีทดสอบหนึ่งครั้ง บันทึกเวลาจริง ตัวควบคุมโดเมนและบัญชี อย่าใช้บัญชีใช้งานจริงเพื่อสร้างการล็อกหรือเหตุการณ์ที่ก่อความเสียหาย
2. หลังสร้างเหตุการณ์และเก็บข้อมูลเสร็จ ให้เลือกวันที่ โดเมนและตัวกรองที่เหมาะสมใน Security Events ค้นหาและเปิดรายละเอียด เทียบเวลา ตัวควบคุม บัญชี หมวดและผลกับการกระทำจริง และตรวจสอบหน้าอื่นตามจำเป็น
3. ใน Audit Events เปิดรายงานการยืนยันตัวตน การเปลี่ยนบัญชีหรือกลุ่มตามต้องการ และพิจารณาขอบเขตรายงานร่วมกับรายละเอียด เหตุการณ์ยืนยันตัวตนสะท้อนกิจกรรมที่ตัวควบคุมที่ถูกเก็บบันทึกไว้ ไม่ใช่บันทึกการเข้าสู่ระบบภายในเครื่องทั้งหมดของเซิร์ฟเวอร์สมาชิกหรือเวิร์กสเตชันทุกเครื่อง
4. หากตรวจสอบการเปลี่ยนโดเมนที่เริ่มจาก Ping64 ด้วย ให้ดูบันทึกที่เกี่ยวข้องใน Audit Events > Platform Operations แล้วเทียบเวลาส่ง วัตถุเป้าหมายและผลการดำเนินงานกับเหตุการณ์ความปลอดภัยแยกกัน การดำเนินงานแพลตฟอร์มสำเร็จไม่ได้ยืนยันว่าเหตุการณ์จากตัวควบคุมถูกสร้างหรือเก็บแล้ว

ตรวจสอบเหตุการณ์การยืนยันตัวตนและวัตถุไดเรกทอรี

หัวข้อเหล่านี้แยกตรวจการยืนยันตัวตน ความเสี่ยงในการเข้าสู่ระบบ และการเปลี่ยนบัญชีหรือวัตถุไดเรกทอรี Login Risks เน้นความล้มเหลวในการยืนยันตัวตนบางประเภท ไม่ได้พิสูจน์ว่าบัญชีถูกบุกรุก การเปลี่ยนสมาชิกกลุ่มและการเปลี่ยนตัวกลุ่มเป็นคนละหัวข้อ

1. ตั้งค่าการเก็บเหตุการณ์ความปลอดภัยของโดเมนตามขั้นตอนข้างต้น แล้วเลือกขอบเขตที่ตรงกับการสอบสวน ได้แก่ การยืนยันตัวตน ความเสี่ยงการเข้าสู่ระบบ บัญชี รหัสผ่าน บัญชีคอมพิวเตอร์ สมาชิกกลุ่ม กลุ่ม หรือ OU ตรวจว่าโดเมนคอนโทรลเลอร์สร้างบันทึกและบัญชีเชื่อมต่อมีสิทธิ์อ่าน บันทึกแล้วตรวจการทำงานของการเก็บ
2. ใน AD Domain Management > Audit Events เลือก Authentication, Login Risks, Account Changes, Password Operations, Computer Account Changes, Group Membership Changes, Group Changes หรือ OU Changes ตามเป้าหมาย
3. เลือกโดเมนและวันที่ แล้วใช้ตัวกรองบัญชี วัตถุเป้าหมาย โดเมนคอนโทรลเลอร์ การกระทำหรือผลลัพธ์ตามที่หน้ารองรับ เปิดรายละเอียดและเทียบเวลา วัตถุ ผลลัพธ์ที่มีและหลักฐานอื่น ตัวกรองและรายละเอียดแตกต่างกันตามหัวข้อ
4. หากไม่พบ ให้ตรวจบันทึกคอนโทรลเลอร์ ขอบเขตและการทำงานของการเก็บ สิทธิ์ วันที่และตัวกรองแยกกัน รายการว่างไม่พิสูจน์ว่าไม่มีการกระทำหรือครอบคลุมทุกคอนโทรลเลอร์และช่วงเวลา ต้องได้รับอนุมัติก่อนทดสอบ และอย่าเปลี่ยนบัญชีหรือไดเรกทอรีจริงเพื่อสร้างเหตุการณ์

ตรวจสอบการเปลี่ยนแปลง GPO

รายงาน GPO ใช้ผลเปรียบเทียบไดเรกทอรีและการตั้งค่านโยบายร่วมกับเหตุการณ์ความปลอดภัยที่เก็บแล้ว เพื่อช่วยตรวจสอบการเปลี่ยนแปลง แต่ไม่ได้ยืนยันว่าปลายทางใช้นโยบายแล้วหรือครอบคลุมการดำเนินการย้อนหลังทั้งหมด

1. ตั้งค่าการเก็บตามหัวข้อข้างต้นสำหรับโดเมนเป้าหมาย เปิดการเก็บเหตุการณ์ความปลอดภัยและเลือก GPO change audit ตรวจสอบว่าตัวควบคุมโดเมนสร้างเหตุการณ์ตามข้อกำหนดการตรวจสอบ บัญชีเชื่อมต่อมีสิทธิ์อ่าน และการเก็บทำงานปกติ การบันทึกไม่ได้ยืนยันว่ามีข้อมูลฐานเปรียบเทียบหรือบันทึกการเปลี่ยนแปลงแล้ว
2. ที่ AD Domain Management > Audit Events เลือก GPO Changes ตรวจสอบโดเมน วันที่และตัวกรอง ช่วงวันที่เริ่มต้นตามเวลาท้องถิ่นคือสองวันก่อนหน้าถึงวันนี้ ใช้คำค้น ตัวควบคุมโดเมนต้นทาง ประเภทการเปลี่ยนแปลงและสถานะการวิเคราะห์เพื่อจำกัดผลตามความเหมาะสม
3. ตรวจสอบแท็บ Setting changes, Scope and permissions และ Properties and lifecycle แยกกัน การเปลี่ยนแท็บจะรีเซ็ตตัวกรอง จึงต้องตรวจสอบโดเมน วันที่และเงื่อนไขอื่นอีกครั้ง รายการว่างในแท็บหนึ่งไม่ได้หมายความว่าแท็บอื่นไม่มีบันทึก
4. เปิด Details เพื่อตรวจสอบเวลา ออบเจ็กต์ ความแตกต่างก่อนและหลังที่มี และหลักฐานที่เกี่ยวข้อง หากใช้ได้ ให้ดู History ของรายการตั้งค่า เนื้อหาบางส่วนอาจวิเคราะห์หรือแสดงได้ไม่ครบ จึงควรเทียบกับเหตุการณ์ต้นฉบับ การตั้งค่านโยบายจริงและหลักฐานอื่น
5. หากกำลังเริ่มต้นหรือไม่พบการเปลี่ยนแปลง ให้ตรวจสอบการเก็บและการสร้างฐานเปรียบเทียบ จากนั้นทำการเปลี่ยนแปลงทดสอบที่ได้รับอนุญาตและรอการเก็บ ฐานเริ่มต้นไม่สามารถสร้างการเปลี่ยนแปลงก่อนหน้าทั้งหมดกลับมาได้ ความล้มเหลว สิทธิ์ ช่วงวันที่และการล้างบันทึกอาจมีผลต่อผลลัพธ์

ตั้งค่าและตรวจสอบการเปลี่ยนแปลง DNS

การเปลี่ยนแปลง DNS ใช้แหล่งบันทึก DNS Audit แยกจากสวิตช์เก็บเหตุการณ์ความปลอดภัยของตัวควบคุมโดเมน ตรวจสอบกับผู้ดูแลโดเมนว่าเซิร์ฟเวอร์ Windows DNS สร้างบันทึกที่ต้องการ สภาพแวดล้อมทำงานเข้าถึงเซิร์ฟเวอร์ได้ และบัญชีเชื่อมต่อโดเมนมีสิทธิ์อ่านบันทึก ฟังก์ชันนี้ไม่ใช่การตั้งค่า DNS ของ Zero Trust หรือรายการคำถาม DNS ทั้งหมด

1. ในการจัดการโดเมน AD เปิดเหตุการณ์ความปลอดภัยจาก Audit Events แล้วเลือก “Collection Config” เลือกโดเมนต้นทางในข้อมูลพื้นฐาน จากนั้นเลือกการตรวจสอบ DNS และเปิด “Enable DNS Audit log collection”
2. กรอกเซิร์ฟเวอร์ใน “DNS servers” โดยคั่นหลายเครื่องด้วยจุลภาคตามตัวอย่าง เลือกอย่างน้อยหนึ่งรายการใน “DNS event categories” เช่น “Record changes” และหมวดอื่นตามความต้องการ บันทึกแล้วเปิดการตั้งค่าอีกครั้งเพื่อตรวจโดเมน สวิตช์ เซิร์ฟเวอร์ และหมวด
3. เลือก “Test source” จากการดำเนินการของเซิร์ฟเวอร์ ตรวจการเข้าถึง ช่องทางตรวจสอบ และสิทธิ์อ่านของแต่ละเครื่อง ผลผ่านแสดงเพียงเงื่อนไขขณะทดสอบ ไม่ยืนยันว่าเหตุการณ์ถูกสร้าง เก็บ หรือเก็บรักษาครบถ้วน หากต้องการตรวจการเก็บ ให้เริ่มเก็บด้วยตนเองจากข้อมูลพื้นฐาน แล้วตรวจสถานะและผลการเก็บ
4. ในสภาพแวดล้อมทดสอบที่ได้รับอนุญาต เปลี่ยนระเบียน DNS ที่ควบคุมไว้และจดเวลาและเซิร์ฟเวอร์ หลังเกิดเหตุการณ์และเก็บเสร็จ เปิด “DNS Changes” ใน Audit Events กรองตามโดเมน วันที่ เซิร์ฟเวอร์ ชื่อระเบียน และเงื่อนไขที่เกี่ยวข้อง แล้วตรวจรายละเอียด หากไม่พบให้ตรวจการสร้างเหตุการณ์ เซิร์ฟเวอร์ หมวด การทดสอบแหล่ง งานเก็บ การเก็บรักษาบันทึก และตัวกรอง รายการว่างเพียงอย่างเดียวไม่ยืนยันว่าไม่มีการเปลี่ยนแปลง

อย่ารีเซ็ตตำแหน่งเก็บโดยไม่ประเมิน เพราะจะเปลี่ยนจุดเริ่มต้นการเก็บครั้งต่อไปและอาจกระทบข้อมูลย้อนหลัง ให้ประเมินตามขั้นตอนองค์กรและตรวจข้อความยืนยัน การเก็บและค้นหาไม่เปลี่ยนการตั้งค่า DNS การแก้ระเบียนต้องทำตามขั้นตอน DNS ที่ได้รับอนุญาต

ตั้งค่าและตรวจสอบการดำเนินการของบัญชีสิทธิพิเศษ

รายงานนี้จับคู่เหตุการณ์การจัดการที่เก็บแล้วกับขอบเขตสมาชิกสิทธิพิเศษ ณ เวลาที่เกิดเหตุการณ์ ไม่ใช่สวิตช์เก็บข้อมูลแยกหรือบันทึกกิจกรรมสิทธิพิเศษที่ครบถ้วน ก่อนอื่นให้ตั้งค่าการเก็บเหตุการณ์ความปลอดภัยของโดเมนตามหัวข้อข้างต้นและเลือกขอบเขตที่ตรงกับการดำเนินการที่ต้องการ DNS Audit เป็นแหล่งข้อมูลแยก อย่าสมมติว่าบันทึกของแหล่งนี้จะปรากฏในรายงานนี้ ให้ตั้งค่าและค้นหาการเปลี่ยนแปลง DNS แยกตามหัวข้อข้างต้น ตรวจสอบว่าผู้ใช้และกลุ่มไดเรกทอรีซิงค์แล้ว และบัญชีมีสิทธิ์ดูเหตุการณ์ ตั้งค่าขอบเขต และดำเนินการตามที่จำเป็น

1. ใน AD Domain Management > Audit Events เปิด Privileged Account Operations เลือกโดเมน แล้วเปิด Privileged Account Scope ตรวจสอบผู้มีสิทธิพิเศษในตัวและสถานะการระบุ โดยไม่สามารถนำผู้มีสิทธิในตัวออกได้
2. หากต้องขยายขอบเขต เลือก Add Custom Privileged Principal ค้นหากลุ่มความปลอดภัยหรือผู้ใช้ที่ซิงค์แล้วด้วยชื่อหรือบัญชี เลือกและยืนยัน ตรวจสอบขอบเขต เลือก Validate แล้วเลือก Save หลังผ่านการตรวจสอบ การตรวจสอบไม่ได้บันทึก และต้องตรวจสอบใหม่หลังแก้ไขขอบเขต
3. กลับไปตรวจสอบสถานะสแนปช็อตสมาชิกในหน้าขอบเขต หากต้องอัปเดตสมาชิกของขอบเขตที่บันทึกแล้ว ผู้ดูแลที่มีสิทธิ์ดำเนินการเลือก Refresh Member Snapshot ได้ การกระทำนี้ใช้ขอบเขตที่บันทึกแล้วและไม่แทนการบันทึกการแก้ไขที่ค้างอยู่ หากล้มเหลวให้ตรวจสอบการเชื่อมต่อโดเมน การซิงค์ สิทธิ์บัญชีเชื่อมต่อ และข้อความในหน้า
4. ในสภาพแวดล้อมทดสอบที่ได้รับอนุญาต ให้บัญชีในขอบเขตทำการจัดการที่ได้รับอนุมัติ แล้วรอให้เกิดและเก็บเหตุการณ์ ในรายงานกรองโดเมน วันที่ บัญชี ประเภทการดำเนินการหรือแหล่งสิทธิพิเศษ แล้วเปิดรายละเอียด ระบบจับคู่ตามช่วงเวลาสมาชิกที่บันทึกไว้ ณ เวลาเกิดเหตุ จึงใช้เฉพาะสมาชิกปัจจุบันอธิบายประวัติไม่ได้ และไม่รับประกันว่าจะสร้างเหตุการณ์ก่อนเผยแพร่ขอบเขตหรือเมื่อขาดสแนปช็อตย้อนหลังได้
5. หากไม่พบผล ให้ตรวจสอบแยกกันว่าโดเมนคอนโทรลเลอร์สร้างเหตุการณ์ความปลอดภัยที่เกี่ยวข้องหรือไม่ ขอบเขตและสถานะการเก็บ สมาชิกภาพของบัญชีที่ดำเนินการ สแนปช็อต วันที่ และตัวกรอง ผลว่างไม่พิสูจน์ว่าไม่มีการดำเนินการหรือครอบคลุมทุกเซิร์ฟเวอร์และช่วงเวลาในอดีต

ตรวจสอบการเปลี่ยนแปลงนโยบายโดเมน

หน้านี้ตรวจสอบเหตุการณ์เปลี่ยนแปลงนโยบายระดับโดเมนที่เก็บแล้ว เช่น รหัสผ่านและการล็อกบัญชี หมายเลขเหตุการณ์คือ 4739 แยกจากหน้าการเปลี่ยนแปลง GPO และไม่ยืนยันว่านโยบายถูกใช้บนอุปกรณ์ทุกเครื่อง

1. ตั้งค่าการเก็บเหตุการณ์ความปลอดภัยตามขั้นตอนข้างต้นและเลือก Domain policy change audit ตรวจว่าตัวควบคุมสร้างเหตุการณ์ บัญชีเชื่อมต่ออ่านได้ และตรวจผลการเก็บหลังบันทึก
2. ในเหตุการณ์ตรวจสอบของการจัดการโดเมน AD เปิด Policy Change Audit เลือกโดเมนและวันที่ ป้อนบัญชีเหตุการณ์ ตัวควบคุมหรือเงื่อนไขอื่นตามต้องการ แล้วสั่งค้นหา
3. เปิดรายละเอียดตรวจเวลา โดเมนเป้าหมาย บัญชีเหตุการณ์และค่านโยบายที่มี เทียบกับบันทึกการเปลี่ยนแปลงที่อนุมัติและค่าจริงในโดเมน รายละเอียดแสดงเฉพาะค่าที่มีในเหตุการณ์ อย่าสมมติว่ามีค่าก่อนและหลังครบถ้วน
4. หากไม่พบเหตุการณ์ ให้ตรวจบันทึกตัวควบคุม ขอบเขตและสถานะการเก็บ สิทธิ์ วันที่และตัวกรอง ผลว่างไม่ยืนยันว่าไม่มีการเปลี่ยนแปลง การทดสอบต้องได้รับอนุมัติจากผู้ดูแลโดเมน อย่าเปลี่ยนนโยบายใช้งานจริงเพียงเพื่อสร้างบันทึก

ตรวจสอบเหตุการณ์คืนค่าวัตถุ AD

หน้านี้ใช้ตรวจสอบเหตุการณ์คืนค่าวัตถุไดเรกทอรีที่เก็บแล้ว หมายเลข 5138 โดยค้นหาบันทึกเท่านั้นและไม่ดำเนินการคืนค่า เหตุการณ์หนึ่งรายการไม่ได้ยืนยันว่าสมาชิก สิทธิ์และสถานะธุรกิจกลับมาครบถ้วน

1. ตั้งค่าการเก็บเหตุการณ์ความปลอดภัยตามขั้นตอนข้างต้นและเลือก AD object restore audit ตรวจการสร้างเหตุการณ์ สิทธิ์อ่านของบัญชีเชื่อมต่อและผลการเก็บหลังบันทึก
2. ในเหตุการณ์ตรวจสอบของการจัดการโดเมน AD เปิด Object Restores เลือกโดเมนและวันที่ ป้อนวัตถุเป้าหมาย บัญชีผู้ดำเนินการ ตัวควบคุมหรือเงื่อนไขอื่นตามต้องการ แล้วสั่งค้นหา
3. เปิดรายละเอียดตรวจชนิดวัตถุ บัญชี เวลา และตำแหน่งไดเรกทอรีก่อนและหลังคืนค่าที่มี เทียบกับบันทึกที่อนุมัติและสถานะปัจจุบัน ตรวจสมาชิก สิทธิ์และการใช้งานแอปด้วยขั้นตอนที่ได้รับอนุญาต
4. หากไม่พบ ให้ตรวจการสร้างและเก็บบันทึกบนตัวควบคุม ขอบเขตและสถานะการเก็บ สิทธิ์ วันที่และตัวกรอง ผลว่างไม่ยืนยันว่าไม่มีการคืนค่า อย่าลบหรือคืนวัตถุในระบบจริงเพียงเพื่อทดสอบ

ตรวจสอบเหตุการณ์ล้างบันทึกความปลอดภัย

หน้านี้ใช้ตรวจสอบเหตุการณ์ล้างบันทึกความปลอดภัยของตัวควบคุมโดเมนที่รวบรวมแล้ว แยกจากงานล้างข้อมูลของแพลตฟอร์ม หมายเลขเหตุการณ์คือ 1102 บันทึกการล้างไม่ได้ยืนยันว่าเก็บเหตุการณ์ก่อนหน้าครบ และไม่สามารถกู้คืนบันทึกที่ล้างแล้ว

1. ตั้งค่าการเก็บเหตุการณ์ความปลอดภัยของโดเมนตามขั้นตอนข้างต้นและเลือกขอบเขต Security Log Clearing ตรวจว่าตัวควบคุมสร้างเหตุการณ์และบัญชีเชื่อมต่ออ่านได้ จากนั้นตรวจผลการเก็บหลังบันทึก
2. ในเหตุการณ์ตรวจสอบของการจัดการโดเมน AD เปิด Security Log Clearing เลือกโดเมนและวันที่ หากต้องการให้ป้อนบัญชีเหตุการณ์หรือตัวควบคุมโดเมนแล้วกด Enter หรือออกจากช่องเพื่อใช้ตัวกรอง เปิดรายละเอียดตรวจเวลา ตัวควบคุมและข้อมูลบัญชีที่มี
3. หากพบรายการให้สอบสวนและปกป้องหลักฐานอื่นตามกระบวนการความปลอดภัย หากว่างให้ตรวจบันทึกตัวควบคุม ขอบเขตและสถานะการเก็บ สิทธิ์และช่วงเวลา อย่าล้างบันทึกจริงเพื่อทดสอบหรือใช้ผลว่างยืนยันว่าไม่มีการล้าง

ตรวจสอบการเปลี่ยนแปลงสิทธิ์ไดเรกทอรี

หน้านี้ตรวจสอบเหตุการณ์เปลี่ยนสิทธิ์วัตถุไดเรกทอรีที่เก็บแล้ว หมายเลข 5136 ไม่ครอบคลุมการเปลี่ยนสิทธิ์ไฟล์ แอป หรือสิทธิ์อื่นทั้งหมด และไม่ได้คำนวณสิทธิ์ใช้งานจริงสุดท้ายของผู้ใช้บนวัตถุโดยตรง

1. ตั้งค่าการเก็บเหตุการณ์ความปลอดภัยตามขั้นตอนข้างต้นและเลือก Directory permission change audit ตรวจการสร้างเหตุการณ์ สิทธิ์อ่านของบัญชีเชื่อมต่อและผลการเก็บหลังบันทึก
2. ในเหตุการณ์ตรวจสอบของการจัดการโดเมน AD เปิด Permission Changes เลือกโดเมนและวันที่ ป้อนวัตถุเป้าหมาย บัญชีผู้ดำเนินการ ตัวควบคุมหรือเงื่อนไขอื่นตามต้องการ แล้วสั่งค้นหา
3. เปิดรายละเอียดตรวจเวลา วัตถุ บัญชี สถานะการเชื่อมโยง และรายการควบคุมการเข้าถึงที่เพิ่มหรือลบซึ่งมีอยู่ เทียบกับการเปลี่ยนแปลงที่อนุมัติและสิทธิ์ไดเรกทอรีจริง
4. หากข้อมูลเชื่อมโยงหรือข้อมูลก่อนหลังขาด หรือแปลผลไม่ได้ ความแตกต่างที่แสดงอาจไม่ครบ ผลต่างว่างไม่ได้ยืนยันว่าสิทธิ์ไม่เปลี่ยน หากไม่พบรายการให้ตรวจบันทึกตัวควบคุม ขอบเขตและการเก็บ สิทธิ์และตัวกรอง การทดสอบต้องได้รับอนุมัติจากผู้ดูแลโดเมน อย่าแก้สิทธิ์ระบบจริงเพียงเพื่อสร้างบันทึก

ตรวจสอบการเปลี่ยนแปลงการกำหนดค่า AD

หน้านี้ตรวจสอบเหตุการณ์ที่เก็บแล้วเกี่ยวกับการกำหนดค่าไดเรกทอรี สคีมา ไซต์ และบทบาท FSMO แยกจากนโยบายโดเมน GPO และการดำเนินงานแพลตฟอร์ม บันทึกสะท้อนเฉพาะเหตุการณ์ที่เก็บและระบุได้ ไม่ยืนยันประวัติครบหรือการซิงค์ของตัวควบคุมทุกตัว

1. ตั้งค่าการเก็บเหตุการณ์ความปลอดภัยตามขั้นตอนข้างต้นและเลือก AD configuration change audit ตรวจการสร้างเหตุการณ์ สิทธิ์อ่านของบัญชีเชื่อมต่อ และผลการเก็บหลังบันทึก
2. ในเหตุการณ์ตรวจสอบของการจัดการโดเมน AD เปิด Configuration Change Audit เลือกโดเมนและวันที่ แล้วค้นตามพื้นที่กำหนดค่า ชนิดการเปลี่ยนแปลง วัตถุ บัญชีผู้ดำเนินการ หรือเงื่อนไขที่มีตามต้องการ
3. เปิดรายละเอียดและเทียบพื้นที่ ชนิด วัตถุ แอตทริบิวต์ ตำแหน่งไดเรกทอรี และสถานะเชื่อมโยงที่มี กับการเปลี่ยนแปลงที่อนุมัติและสถานะปัจจุบัน ช่องหรือข้อมูลเชื่อมโยงอาจไม่ครบ ช่องว่างไม่ยืนยันว่าไม่มีการเปลี่ยนแปลง
4. หากไม่พบให้ตรวจบันทึกตัวควบคุม ขอบเขตและการเก็บ สิทธิ์ วันที่และตัวกรอง การทดสอบต้องได้รับอนุมัติจากผู้ดูแลโดเมน อย่าเปลี่ยนการตั้งค่าระบบจริงเพียงเพื่อสร้างบันทึก

เมื่อไม่พบผล

• ตรวจสอบโดเมนต้นทาง วันที่ ตัวกรองและหน้า รวมถึงสวิตช์เก็บข้อมูล ขอบเขตที่เลือก สถานะงานและข้อความผิดพลาดของโดเมนเป้าหมาย
• ตรวจสอบบนตัวควบคุมว่าเหตุการณ์ที่คาดไว้เกิดขึ้นและยังอยู่ในบันทึกหรือไม่ ตรวจสอบสิทธิ์บัญชีเชื่อมต่อ การเข้าถึงตัวควบคุมและสภาพแวดล้อม เหตุการณ์ไม่เกิด บันทึกถูกลบหรือเขียนทับ สิทธิ์ไม่พอ งานล้มเหลวหรืองานค้างอาจทำให้ข้อมูลขาดหรือล่าช้า
• บันทึกการเก็บ เหตุการณ์ลบบันทึกและสถิติไม่สามารถพิสูจน์ความครบถ้วนของประวัติได้โดยลำพัง อย่าลดข้อกำหนดตรวจสอบของตัวควบคุมโดยไม่ได้รับอนุญาตระหว่างแก้ปัญหาหรือเปลี่ยนขอบเขต และอย่าถือว่าการล้างบันทึกเป็นวิธีกู้คืนข้อมูลย้อนหลัง