SOC Baseline: Политики аудита Windows

1. Расширенный аудит (Advanced Audit Policy Configuration)

Путь GPO: Конфигурация компьютера → Политики → Конфигурация Windows → Параметры безопасности → Конфигурация расширенной политики аудита → Политики аудита системы

1.1 Вход учетной записи (Account Logon)

Подкатегория DC Сервер/АРМ Значение
Аудит проверки учетных данных ✓ ✓ Успех и отказ
Аудит службы проверки подлинности Kerberos ✓ - Успех и отказ
Аудит операций с билетами службы Kerberos ✓ - Успех и отказ

1.2 Управление учетными записями (Account Management)

Подкатегория DC Сервер/АРМ Значение
Аудит управления группами приложений ✓ - Успех и отказ
Аудит управления учетными записями компьютеров ✓ - Успех
Аудит управления группами распространения ✓ - Успех
Аудит других событий управления учетными записями ✓ ✓ Успех
Аудит управления группами безопасности ✓ ✓ Успех
Аудит управления учетными записями пользователей ✓ ✓ Успех и отказ

1.3 Подробное отслеживание (Detailed Tracking)

Подкатегория DC Сервер/АРМ Значение
Аудит активности DPAPI ✓ ✓ Успех и отказ
Аудит PNP-действий ✓ ✓ Успех
Аудит создания процессов ✓ ✓ Успех

1.4 Доступ к службе каталогов (DS Access) - только DC

Подкатегория DC Значение
Аудит подробной репликации службы каталогов ✓ Успех и отказ
Аудит доступа к службе каталогов ✓ Успех и отказ
Аудит изменения службы каталогов ✓ Успех и отказ
Аудит репликации службы каталогов ✓ Успех и отказ

1.5 Вход/выход (Logon/Logoff)

Подкатегория DC Сервер/АРМ Значение
Аудит блокировки учетных записей ✓ ✓ Отказ
Аудит выхода из системы ✓ ✓ Успех
Аудит входа в систему ✓ ✓ Успех и отказ
Аудит других событий входа и выхода ✓ ✓ Успех и отказ
Аудит специального входа ✓ ✓ Успех