監査ポリシーを実装する方法
監査（audit）ポリシーを設定する方法は2つあります：
- 基本的なセキュリティ監査（audit）ポリシー Windows では（ローカルの Windows セキュリティ設定とも呼ばれます）イベントの種類ごとに監査を設定できます。基本ポリシーは、Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Audit Policy にあります。
- 高度なセキュリティ監査（audit）ポリシー 基本の監査ポリシーと同じ課題に対処しますが、各イベントカテゴリ内でよりきめ細かく監査を設定できます。これらの設定は、Computer Configuration -> Policies -> Windows Security Settings -> Advanced Audit Policy Configuration -> System Audit Policies にあります。基本のセキュリティ監査ポリシーと重複しているように見えます（上書きはしません）。
Microsoft は、同じカテゴリに対して基本の監査ポリシー設定と高度な設定を同時に使用しないよう組織に助言しています。理由は、高度な監査ポリシーが構成されると、基本の監査ポリシーが常に上書き（override）され、その結果として「監査レポートで予期しない結果」が生じ得るためです。
イベント ビューアー（Event Viewer）でセキュリティ（Security）ログを表示できます。
設定を変更する前に、次の点を確認してください。
- 以下のリストから、監査したいイベントの種類を決定し、それぞれの設定を指定します。指定した設定が監査ポリシーを構成します。なお、一部のイベントの種類はデフォルトで監査されます。
- データをどのように収集し、保存し、分析するかを決めます。管理して活用するための前提となる計画がないまま大量の監査データを集めても、価値はほとんどありません。
- イベント ログ記録（Event Logging）ポリシーの設定を使用して、セキュリティ ログの最大サイズおよびその他の属性を指定します。重要な考慮事項は、監査によって収集されるデータを保存するために割り当てられる保存領域の量です。選択した設定によっては、監査データが利用可能なディスク容量をすぐに満たしてしまうことがあります。
- 監査設定はコンピューターのパフォーマンスに影響を与える可能性があることに注意してください。そのため、運用環境に新しい監査設定を展開する前に、パフォーマンステストを実施する必要があります。
- ディレクトリ サービス アクセスまたはオブジェクト アクセスを監査する場合は、Audit directory service access と Audit object access のポリシー設定を構成します。
監査できるイベントの種類
基本的なセキュリティ監査ポリシーのカテゴリは次のとおりです。
- アカウントのログオン イベントを監査します。 ユーザーのログオン監査は、ドメインへのログインを試みるすべての不正な試行を検出する唯一の方法です。侵入の試みを検出するには、成功と失敗の両方のログオン イベントを監査することが重要です。ログオフ イベントはドメイン コントローラーでは追跡されません。
- アカウント管理の監査。すべてのユーザー アカウントの変更を注意深く監視することで、業務の中断やシステム停止のリスクを最小限に抑えることができます。
- ディレクトリ サービス アクセスを監査する。必要がある場合、つまり、自身のシステム アクセス制御リスト（例：OU）を持つ AD オブジェクトに誰かがアクセスした時点を確認したいときだけ、この監視を行ってください。
- ログオン イベントを監査します。 ローカル コンピューターへのログオンまたはログオフの成功/失敗の試行を確認できることは、不正侵入の検知やインシデント発生後のフォレンジックに役立ちます。
- オブジェクト アクセスを監査する。必要がある場合、つまり、誰かが権限を使用してファイル サーバー上のファイルにアクセス、コピー、配布、変更、または削除を行ったタイミングを確認したいときだけ、この監査を行ってください。
- ポリシーの変更を監査します。 GPO を不適切に変更すると、環境のセキュリティが大きく損なわれる可能性があります。データ露出のリスクを低減するため、すべての GPO の変更を監視してください。
- 特権の使用を監査します。 ユーザー特権が使用される各インスタンスを追跡したい場合は、このポリシーを有効にします。高級監査ポリシーの Sensitive Privilege Use で、この機能をきめ細かく設定することをお勧めします。
- プロセス追跡の監査。 プロセスの作成、プロセスの終了、ハンドルの重複、間接オブジェクトへのアクセスなど、プロセスに関連するイベントを監査することは、インシデント調査に役立つ場合があります。
- システム イベントの監査。 システム監査ポリシーを設定して、コンピューターの起動、シャットダウン、および再起動を記録し、さらに、プロセスやプログラムが許可されていないことを実行しようとする試みを記録することは非常に有益です。これらのイベントはすべて重要だからです。たとえば、悪意のあるソフトウェアがあなたの許可なくコンピューターの設定を変更しようとした場合、システム イベントの監査によってその操作が記録されます。
推奨される Windows の監査設定
次の高度なセキュリティ監査ポリシー設定を推奨します。
アカウントのログオン
- 資格情報の検証の監査：成功と失敗
アカウント管理
- コンピューター アカウント管理の監査：成功と失敗
- その他のアカウント管理イベントの監査：成功と失敗
- セキュリティ グループ管理の監査：成功と失敗
- 監査 ユーザー アカウント管理：成功と失敗
DS アクセス（ディレクトリ サービス アクセス）
- 監査 DirectoryService アクセス：DC での成功と失敗
- 監査 ディレクトリ サービスの変更：DC での成功と失敗
ログオン/ログオフ
- アカウント ロックアウトの監査: 成功
- ログオフの監査: 成功
- ログオンの監査: 成功と失敗
- 特殊ログオンの監査: 成功と失敗
オブジェクト アクセス
- ログに記録されるデータを特定の用途に使用する必要がある場合にのみ、これらの設定を有効にしてください。有効にすると、セキュリティログに大量のエントリが生成される可能性があります。
ポリシーの変更
- 監査：監査ポリシーの変更（成功と失敗）
- 監査：認証ポリシーの変更（成功と失敗）
特権の使用
- これらの設定は、ログに記録されるデータに対して具体的な用途がある場合にのみ有効にしてください。これらの設定により、セキュリティログに大量のエントリが生成される可能性があります。
プロセストラッキング
- プロセス作成の監査：成功
これらの設定は、ログに記録される情報に対して具体的な用途がある場合にのみ有効にしてください。これらの設定により、セキュリティログに大量のエントリが生成される可能性があります。
システム
- セキュリティ状態の変更の監査：成功と失敗
- その他のシステム イベントを監査: 成功と失敗
- システムの整合性を監査: 成功と失敗
Windows の監査ポリシーとは？
Windows の監査ポリシーでは、Windows サーバーのセキュリティ ログに書き込まれるイベントの種類を定義します。効果的な監査ポリシーを確立することで、潜在的なセキュリティ問題をいち早く把握し、ユーザーの説明責任を確保し、セキュリティ侵害が発生した場合に証拠を提供できます。
ここで提供する推奨の監査ポリシー設定は、AD の監査ポリシーを定義し始めるシステム管理者向けの基準として意図されています。組織のサイバーセキュリティ上のリスクとコンプライアンス要件を必ず考慮してください。さらに、本番環境に実装する前に、ポリシーをテストして改善してください。
共有する