一 了解Windows安全日志

我们都知道，在Windows事件查看器里可以查看用户的操作记录，如：登录、注销、帐户管理、对象访问等。

微软形容“Windows安全日志”是“最后也是最好的防御屏障”，这么说是因为“Windows安全日志”有助于检测隐藏的安全问题，并为解决安全漏洞问题提供依据。

安全漏洞

二 抓住关键事件

在众多的Windows安全事件中，我们可以将关键事件分为两部分：

1、存在恶意活动的单次事件。例如：某个终端用户的帐户突然被添加到敏感的安全组。

2、超过阈值的恶意行为。例如：异常登录失败次数过多。

AD域审计

三 8个Windows安全事件

登录、注销

■登录成功（事件ID：4624）

•检测异常和可能未经授权的内部活动，如从非活动或受限帐户登录、用户在正常工作时间之外登录、用户同时登录很多应用等。

•获取关于用户行为的信息。例如：用户出勤、用户工作时间等。

■登录失败（事件ID：4625）

•检测可能的暴力密码攻击。例如：字典、猜测等，其特征是登录失败的次数突然激增。

•达到设置的帐户锁定阈值策略基准。

账户管理

■成员已添加到启用安全性的全局组（事件ID：4728）

•确保添加安全组成员资格信息，定期核查特权用户的群组成员身份。

■成员已添加到启用安全性的本地组（事件ID：4632）

•检测滥用授权用户行为。

■成员已添加到启用安全性的通用组（事件ID：4756）

•检测意外添加行为。

事件日志

■日志已清除（事件ID：1102，或者也可以禁用事件日志服务，这将导致日志不可被记录。这是由系统审计策略完成的，在这种情况下，事件 4719 会被记录下来。）

•发现具有恶意的用户。例如：那些设法篡改事件日志的用户。

账户管理

■锁定用户账户（事件ID：4740）

•检测可能的暴力密码攻击。例如：字典、猜测等，其特征是登录失败的次数突然激增。

•减轻对合规用户工作的影响。

访问对象

■尝试访问对象（事件ID：4663）

•检测未经授权访问文件和文件夹的行为。

ADAuditPlus

四 关注活动目录安全

首先，您需要配置您的审核策略，以便Windows可以在安全日志中记录相关事件。接下来，您需要分析收集来的日志，然后将这些日志转化为可视化的视图，如报告和警报。

使用Windows自带工具和 PowerShell 脚本来完成这些工作需要专业知识，并且需要花费大量的时间。为了帮助您高效地完成工作，选择专业的第三方工具将是您的最佳选择。

ADAuditPlus拥有丰富的报表、实时告警大大简化了您对AD、成员服务器和工作站中的登录、注销、组成员身份更改、事件日志清除、帐户锁定等操作的监控，以及对于文件服务器的监控。更多功能请联系我们领取30天免费使用的权益。