Configuration avancée de la politique d'audit
La politique d'audit avancée permet un contrôle granulaire sur les paramètres d'audit pour Active Directory. Ces paramètres vous permettront de surveiller et de suivre les changements dans Active Directory tels que les activités des utilisateurs, les changements d'appartenance aux groupes, les changements de stratégie de groupe, etc.
Dans ce guide, je vous explique comment configurer les paramètres de la politique d'audit avancée dans Active Directory.
Étape pour configurer la politique d'audit avancée
Étape 1. Ouvrez la console de gestion des stratégies de groupe
Étape 2. Accédez à l'OU des Contrôleurs de Domaine en développant le conteneur Forêt et Domaines. Cliquez avec le bouton droit et sélectionnez modifier sur la Politique par défaut des Contrôleurs de Domaine. En option, vous pouvez créer un nouveau GPO au lieu de modifier celui par défaut.
Étape 3. Sous Configuration de l'ordinateur, cliquez sur Stratégies > Paramètres Windows > Paramètres de sécurité > Configuration de la stratégie d'audit avancée > Politique d'audit
Étape 5. Configurez les politiques d'audit en fonction de vos besoins. Voir les paramètres recommandés ci-dessous.
Paramètres recommandés de politique d'audit avancée
Les paramètres de politique d'audit ci-dessous sont basés sur la ligne de base de sécurité de Windows Server 2022. Ces paramètres et d'autres sont disponibles dans le Kit d'outils de conformité de sécurité de Microsoft.
| Chemin de politique | Nom des paramètres de politique | Paramètres d'événements d'audit |
|---|---|---|
| Connexion au compte | Validation des identifiants d'audit | Échec |
| Connexion au compte | Audit du service d'authentification Kerberos | Succès et Échec |
| Connexion au compte | Auditer les opérations de tickets de service Kerberos | Échec |
| Connexion au compte | Auditer d'autres événements de connexion aux comptes | |
| Gestion de compte | Gestion des groupes d'application d'audit | |
| Gestion de compte | Audit de la gestion des comptes informatiques | Succès |
| Gestion de compte | Gestion des groupes de distribution d'audit | |
| Gestion de compte | Audit d'autres événements de gestion de compte | Succès |
| Gestion de compte | Gestion des groupes de sécurité d'audit | Succès |
| Gestion de compte | Audit de la gestion des comptes utilisateurs | Succès et Échec |
| Suivi détaillé | Audit de l'activité DPAPI | |
| Suivi détaillé | Audit de l'activité PNP | Succès |
| Suivi détaillé | Création du processus d'audit | Succès |
| Suivi détaillé | Terminaison du processus d'audit | |
| Suivi détaillé | Auditer les événements RPC | |
| Suivi détaillé | Droit d'audit du jeton ajusté | |
| Accès DS | Auditer le répertoire de service de réplication détaillé | |
| Accès DS | Auditer l'accès au service d'annuaire | Échec |
| Accès DS | Auditer les modifications du service d'annuaire | Succès |
| Accès DS | Audit de la réplication du service d'annuaire | |
| Audit d'accès aux objets globaux | Système de fichiers | |
| Audit d'accès aux objets globaux | Registre | |
| Connexion/Déconnexion | Auditer les droits d'accès | |
| Connexion/Déconnexion | Audit de verrouillage de compte | Échec |
| Connexion/Déconnexion | Appartenance à un groupe | Succès |
| Connexion/Déconnexion | Mode étendu IPsec | |
| Connexion/Déconnexion | Mode principal IPsec | |
| Connexion/Déconnexion | Mode rapide IPsec | |
| Connexion/Déconnexion | Journal de déconnexion | |
| Connexion/Déconnexion | Journal d'audit | Succès et Échec |
| Connexion/Déconnexion | Serveur de Politique de Réseau d'Audit | |
| Connexion/Déconnexion | Auditer d'autres événements de connexion/déconnexion | Succès et Échec |
| Connexion/Déconnexion | Connexion spéciale | Succès |
| Connexion/Déconnexion | Audit des déclarations d'utilisateur/de dispositif | |
| Accès à l'objet | Application d'audit générée | |
| Accès à l'objet | Audit de la Politique d'Accès Central de Mise en Staging | |
| Accès à l'objet | Services de certification d'audit | |
| Accès à l'objet | Audit Dossier Détaillé de Partage | Échec |
| Accès à l'objet | Fichier d'audit partagé | Succès et Échec |
| Accès à l'objet | Fichier d'audit du système | |
| Accès à l'objet | Plateforme de filtrage des connexions d'audit | |
| Accès à l'objet | Plateforme de filtrage d'audit de perte de paquets | |
| Accès à l'objet | Manipulation de la poignée d'audit | |
| Accès à l'objet | Objet de noyau d'audit | |
| Accès à l'objet | Audit d'autres événements d'accès aux objets | Succès et Échec |
| Accès à l'objet | Registre d'audit | |
| Accès à l'objet | Audit du stockage amovible | Succès et Échec |
| Accès à l'objet | Audit SAM | |
| Changement de politique | Audit Changement de Politique d'Audit | Succès |
| Changement de politique | Audit de la modification de la politique d'authentification | Succès |
| Changement de politique | Changement de Politique d'Autorisation d'Audit | |
| Changement de politique | Changement de politique de la plateforme de filtrage d'audit | |
| Changement de politique | Audit de la modification de la politique au niveau de la règle MPSSVC | Succès et Échec |
| Changement de politique | Audit d'autres événements de changement de politique | Échec |
| Utilisation de privilège | Audit de l'utilisation des privilèges non sensibles | |
| Utilisation de privilège | Auditer d'autres événements d'utilisation des privilèges | |
| Utilisation de privilège | Audit de l'utilisation des privilèges sensibles | Succès et Échec |
| Système | Audit du pilote IPsec | |
| Système | Auditer d'autres événements système | Succès et Échec |
| Système | Audit de changement d'état de sécurité | Succès |
| Système | Extension du système de sécurité de l'audit | Succès |
| Système | Auditer l'intégrité du système | Succès et Échec |