*КУБ - повний комплекс хмарних послуг!
*КУБ - повний комплекс хмарних послуг!
Без прозорого контролю неможливо забезпечити безпеку інфраструктури. І одна з ключових функцій, яка дозволяє отримати такий контроль у середовищі Windows, — це Audit Policy, або політика аудиту. Активація Windows Audit Policy допомагає відстежувати спроби входу, доступ до файлів, зміни прав, запуск процесів та інші важливі події.
У корпоративному середовищі, особливо при дотриманні стандартів ISO/IEC 27001, PCI DSS або вимог SOC, аудит безпеки Windows — не просто додаткова функція, а обов’язковий елемент. У цій статті розберемо, як налаштувати та використовувати політику аудиту Windows ефективно, з прикладами, списками та рекомендаціями.
Audit Policy (політика аудиту) — це механізм, вбудований в Windows, який дозволяє реєструвати ключові дії користувачів і процесів в системному журналі (Event Log). Ці записи можна використовувати для:
Приклади подій, які можна зафіксувати:
Встановлення або запуск додатків.
| Сценарій | Користь аудиту |
| Розслідування витоків даних | Показує, хто отримав доступ до якого файлу і коли |
| Контроль дій адміністраторів | Фіксує зміну прав, запуск скриптів |
| Відповідність вимогам аудиту (SOC, ISO) | Повний журнал подій з прив’язкою до часу та користувача |
| Захист від внутрішніх загроз | Виявляє аномальну активність, несанкціоновані входи |
Політика аудиту в Windows дозволяє реєструвати важливі події, включаючи входи в систему, доступ до файлів, зміни прав, запуск процесів і багато іншого. Налаштувати її можна локально (на одному сервері або робочій станції) або через групову політику (GPO) в домені.
Підходить для:
Натисніть Win + R, введіть: secpol.msc і натисніть Enter.
Перейдіть до розділу: Політика локальної безпеки → Локальні політики → Політика аудиту
Вам будуть доступні 9 основних категорій:
| Категорія | Що фіксує |
| Аудит доступу до об’єктів | Доступ до файлів, папок, реєстру |
| Аудит входу в систему | Спроби входу на робочу станцію (RDP, інтерактивний) |
| Аудит входу в мережу | Доступ через мережеві ресурси (наприклад, спільний диск) |
| Аудит подій облікових записів | Створення, видалення, зміна користувачів |
| Аудит використання привілеїв | Використання адміністративних дій |
| Аудит системних подій | Перезапуск, відключення, помилки служб |
| Аудит змін політики | Спроби зміни політики безпеки |
| Аудит процесів | Запуск/завершення додатків |
| Аудит служб каталогів | Тільки в доменах Active Directory |
Приклад включення:
Відкрийте політику «Аудит входу в систему», встановіть прапорці:
Повторіть для інших необхідних політик.
Зміни набувають чинності:
Або після виконання:
gpupdate /forceПідходить для:
На контролері домену натисніть Win + R, введіть:
gpmc.mscСтворіть новий GPO (наприклад: Audit Policy Servers)
Перейдіть за шляхом: Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Audit Policy
Так само, як у локальних налаштуваннях, увімкніть:
Вкажіть, які події реєструвати: Success, Failure або обидва.
Застосуйте GPO до потрібного контейнера (OU) з серверами або робочими станціями.
На клієнтських машинах виконайте:
gpupdate /forceили дождитесь автоматического обновления GPO.
Починаючи з Windows Server 2008 R2 і Windows 7 з’явилася більш гнучка система:
Увімкніть потрібні підкатегорії. Деякі з найбільш корисних:
| Підкатегорія | Опис |
| Logon | Успішні та невдалі входи |
| Object Access | Спроби доступу до захищених об’єктів |
| Account Logon | Аутентифікація користувачів через мережу |
| Policy Change | Спроби зміни політики безпеки |
| Privilege Use | Використання адміністративних прав |
| Process Creation | Запуск нових процесів |
Щоб розширені політики не конфліктували зі стандартними, рекомендується відключити стандартний розділ:
Audit: Force audit policy subcategory settings (Windows Vista or later) to override audit policy category settings = Enabled
Перевірити:
auditpol /get /category:*Увімкнути, наприклад, аудит входу:
auditpol /set /subcategory:"Logon" /success:enable /failure:enableУсі події записуються в журнал безпеки Windows:
Використовуйте ID подій:
| ID | Подія |
| 4624 | Успішний вхід |
| 4625 | Помилка входу |
| 4663 | Спроба доступу до об’єкта |
| 4719 | Зміна налаштувань аудиту |
| 4688 | Запуск процесу |
| 4670 | Зміна дозволів (ACL) |
Фільтрація за цими ID дозволить швидко знаходити потрібні події.
Активація Windows Audit Policy — це фундаментальний крок до забезпечення безпеки в будь-якій корпоративній ІТ-інфраструктурі. Грамотно налаштований аудит дозволяє виявляти загрози, відстежувати доступ до даних і відповідати стандартам інформаційної безпеки. Незалежно від того, чи використовуєте ви окремий сервер або Windows VPS, активація й регулярний контроль політик аудиту допоможуть своєчасно виявляти підозрілу активність і підтримувати високий рівень захисту системи.
