Wie werden in ActiveDirectory Sicherheitsüberwachungsereignisse an das Ereignisprotokoll des Domänencontrollers übertragen? Wie skaliert der Mechanismus?

Question

In einer Multi-Domain-Einstellung möchte ich Audit-Ereignisse für Sicherheitsdateizugriffe an einem zentralen Ort sammeln.

In ActiveDirectory ist es möglich, die Überwachung des Dateizugriffs auf dem Domänencontroller durch Erstellen eines Gruppenrichtlinienobjekts zu aktivieren. Darüber hinaus muss auf einem anderen Computer mit Dateiserver, der Mitglied einer der Domänen ist, eine SACL für die Dateisystemobjekte konfiguriert werden, die überwacht werden sollen (und die in einer Netzwerkfreigabe enthalten sind).

Sobald dies geschehen ist, werden die Dateizugriffsereignisse aufgezeichnet und irgendwie magisch in das Ereignisprotokoll des Domänencontrollers übertragen.

Ich würde wirklich gerne wissen:

• Wie und wann werden diese Ereignisse übertragen? Ist die Übertragung verschlüsselt?
• Ist es möglich, einen anderen (zusätzlichen) Empfänger dieser Ereignisse direkt neben dem Domänencontroller auszuwählen? Ich weiß, dass es möglich ist, diese Protokollereignisse später weiterzuleiten, aber werden sie standardmäßig an den Domänencontroller weitergeleitet? Ist eine implizite Weiterleitung konfiguriert?
• Wie viel Verkehr wird in Bezug auf die Netzwerklast generiert?

Answer 1

Das erste, was Domänencontroller ist der Server mit Active Directory (eine Art von Organisationsdatenbank). Das Active Directory identifizierte alle Komponenten/Ressourcen, die mit der Domäne verbunden sind, ob logisch (Benutzer) und physisch (Computer und Drucker) als Objekt. Dieses Objekt verfügt über Eigenschaften, die als Schema bezeichnet werden. Dieses Schema wurde in Repositorys als GC (Globaler Katalog) katalogisiert, aber GC hat nur Teilinformationen, so dass Ressourcen gefunden werden können. Nun zu diesen Richtlinien. Es gibt zwei Dinge, GPO und OU. Das Gruppenrichtlinienobjekt besteht aus Richtlinien, die Sie auf Organisationseinheit oder eine höhere Gruppierungseinheit anwenden können. Mal sehen, wie Kommunikation passiert. Auch hier gibt es zwei häufig verwendete Begriffe: 1. Replikation und 2. LDAP-Abfrage.

Die Replikation erfolgt zwischen dem Controller, so dass der Netzwerkverkehr reduziert werden kann und eine höhere Verfügbarkeit für Ressourcen, die mit dem Server verbunden sind. Bei der Replikation wurden alle Ressourceninformationen mit dem Server synchronisiert. Um die Sicherheitsintegrität zu gewährleisten, gibt es ein Zertifikat (das Identifikation sowie einen Verschlüsselungsmechanismus gibt) und Delegierung (die Bereitstellung von Rechten).

LDAP ist das Protokoll, über das der Benutzer authentifiziert wurde. So hat LDAP eine Abfrage, die ähnlich wie eine andere Abfragesprache ist. Nun, all diese Abfrage wurde letztendlich auf dem Server protokolliert.

Gruppenrichtlinienobjekt wurde auf Ressourcen repliziert oder Sie können zwangsweise anwenden. Wenn du es sofort machen willst.