DHCP予約を削除したのが誰かを検出する方法
ネイティブ監査（Native Auditing）と Netwrix Auditor for Windows Server
Netwrix Auditor for Windows Server
DHCP Reservation が削除されるたびにトリガーされるアラートを作成するには：
- Netwrix Auditor Event Log Manager を実行 → 「Edit」をクリック → 「Add」をクリック → 「Computer name」フィールドを入力して「OK」をクリック → データを収集するために使用するアカウントを指定 → 「Save」をクリックします。
- 「Alerts」の横にある「Configure」ボタンをクリック → 「Add」をクリック → 新しいアラートの名前およびその他の詳細を指定 → 「Event Filters」ウィンドウを開くために「Add」ボタンをクリックします。
- 「Event Fields」タブに切り替え → 「Event ID」ボックスをオンにして値を「107」に設定 → 「Category」ボックスをオンにして値を「0」に設定 → 「OK」をクリックします。
誰かが DHCP Reservation を削除すると、次のような類似のアラートが表示されます：
ネイティブ監査
- DHCP の Microsoft Management Console（MMC）スナップインを開きます。
- コンソール ツリーで、構成したい DHCP サーバーをクリック → IPv4 または IPv6 を選択します。
- DHCP インスタンスを右クリックしてメニューを呼び出す →「プロパティ」を選択 →「全般」タブで「DHCP の監査ログを有効にする」を選択 →「OK」をクリックします。
- evenvwr.msc を実行 →「アプリケーションとサービス ログ」へ移動 →「Microsoft」へ移動 →「Windows」をクリック →「DHCP-Server」を選択 →「Microsoft-Windows-DHCP Server Events/Operational」をクリックします。
- DHCP Reservation を削除したのが誰かを確認するには、イベント ID 107 を探してください。
誰かが DHCP Reservation を削除するたびに、同様の通知が届きます:
詳しくは Netwrix Auditor for Windows Server
DHCP Reservation の削除を監視して、システム停止を回避
DHCP reservation を削除すると、IT サービスが利用できなくなる可能性があります。たとえば、ユーザーはメール、ファイルサーバー、SharePoint などへのアクセスで問題が発生することがあります。また、ユーザーは企業の共有リソース上のファイルにアクセスしたり、メールボックスを利用したりできなくなるため、IT ヘルプデスクではチケット件数が大幅に増加します。システム停止のリスクと、その結果として発生する失敗したアクセス試行を最小限に抑えるには、IT 管理者が DHCP reservation を常に監視し、削除があれば可能な限り早く見つける必要があります。
Netwrix Auditor for Windows Server は、Windows Server のアクティビティに関する可視性を提供し、DHCP reservation の削除を含むすべての Windows Server のアクセスイベントおよび変更について、実行可能な情報を提供します。さらに、Interactive Search 機能を使用することで、IT 担当者は、削除された DHCP reservation について、誰が削除したのか、削除がいつ・どこで発生したのか、その他の詳細など、あらゆる情報を分かりやすいレポートとして作成できます。このソリューションは、削除された予約済み IP アドレスについても、メール アラートを IT 管理者に送信することで通知し、システム停止の防止にさらに役立ちます。
共有する