SCOM: jak monitorovat vazbu GPO na OU v Active Directory

V systému, ve kterém používáme zásady skupiny (group policy) k nastavení konfigurace serverů a koncových počítačů uživatelů k vynucení důležitých položek (např. z bezpečnostních důvodů), může změna vazby (link) na organizační jednotku (OU) v Active Directory indikovat bezpečnostní problém. Jak nám SCOM 2007 může pomoci a co je třeba sledovat?

Nejprve musíme zajistit na doménových řadičích zapnutí Audit Policy: Directory Service Changes, nejlépe v Default Domain Controllers Policy (Computer Configuration / Policies / Windows Settings / Security Settings / Advanced Audit Policy Configuration / Audit Policies)

Vytvoříme výstrahu (alert), reagující na událost v bezpečnostním logu 5136: A directory service object was modified, přičemž nás zajímá změna atributu gPLink. Událost 5136 a její parametry (%n) podle dokumentace Microsoftu (Windows 7 and Windows Server 2008 R2 Security Event Descriptions.xls) vypadá takto

A directory service object was modified.

Subject:
Security ID: %3
Account Name: %4
Account Domain: %5
Logon ID: %6

Directory Service:
Name: %7
Type: %8

Object:
DN: %9
GUID: %10
Class: %11

Attribute:
LDAP Display Name: %12   <--- gPLink
Syntax (OID): %13
Value: %14

Operation:
Type: %15                <--- (Value Added, Value Deleted) 
Correlation ID: %1
Application Correlation ID: %2

Podmínka tedy bude vypadat takto pro výstrahu při odebrání vazby GP na OU:

(Event ID Equals 5136) And (Parameter 15  Equals Value Deleted) And (Parameter 12 Equals gPLink)

nebo pro přidání vazby:

(Event ID Equals 5136) And (Parameter 15  Equals Value Added) And (Parameter 12 Equals gPLink)

 

Napsat komentář

Vaše emailová adresa nebude zveřejněna. Vyžadované informace jsou označeny *