Überwachung: System sofort herunterfahren, wenn Sicherheitsüberprüfungen nicht protokolliert werden können
Hier werden bewährte Methoden, Speicherort, Werte, Verwaltungsverfahren und Sicherheitsaspekte für die Sicherheitsrichtlinie Überwachung: System sofort herunterfahren, wenn Sicherheitsüberprüfungen nicht protokolliert werden können beschrieben.
Referenzen
Mit der Richtlinieneinstellung Überwachung: System sofort herunterfahren, wenn Sicherheitsüberprüfungen nicht protokolliert werden können legen Sie fest, ob das System herunterfährt, wenn es keine Sicherheitsereignisse protokollieren kann. Diese Richtlinieneinstellung zählt zu den Voraussetzungen für die Zertifizierungen „Trusted Computer System Evaluation Criteria (TCSEC)-C2„ und „Common Criteria (CC)“. Sie verhindert das Auftreten überwachbarer Ereignisse, wenn das Überwachungssystem diese Ereignisse nicht protokollieren kann. Microsoft erfüllt diese Anforderung, indem das System bei einem Ausfall des Überwachungssystems angehalten und eine Stoppmeldung angezeigt wird. Durch Aktivieren diese Richtlinieneinstellung wird das System gestoppt, wenn eine Sicherheitsüberwachung aus irgendeinem Grund nicht protokolliert werden kann. Dass ein Ereignis nicht protokolliert werden kann, liegt in der Regel daran, dass das Sicherheitsüberwachungsprotokoll voll ist und der Wert der Aufbewahrungsmethode des Sicherheitsprotokolls auf Ereignisse nicht überschreiben (Protokoll manuell aufräumen) oder Ereignisse auf Tagen basierend überschreiben gesetzt ist.
Wenn Sie Überwachung: System sofort herunterfahren, wenn Sicherheitsüberprüfungen nicht protokolliert werden können auf Aktiviert gesetzt haben und das Sicherheitsprotokoll voll ist und ein vorhandener Eintrag nicht überschrieben werden kann, wird folgende Stoppmeldung angezeigt:
STOP: C0000244 {Überwachung fehlgeschlagen} Ein Versuch zur Erzeugung einer Sicherheitsüberwachung ist fehlgeschlagen. |
Zur Wiederherstellung müssen Sie sich anmelden, das Protokoll archivieren (optional), das Protokoll löschen und diese Option gegebenenfalls zurücksetzen.
Wenn der Computer keine Ereignisse im Sicherheitsprotokoll aufzeichnen kann, stehen nach einem Sicherheitsvorfall weder ein Nachweis noch nützliche Problembehandlungsinformationen zur Verfügung.
Mögliche Werte
Aktiviert
Deaktiviert
Nicht definiert
Bewährte Methoden
- Sie können entsprechend Ihren Sicherheitsüberwachungsanforderungen die Einstellung Überwachung: System sofort herunterfahren, wenn Sicherheitsüberprüfungen nicht protokolliert werden können aktivieren, um sicherzustellen, dass Sicherheitsüberwachungsinformationen zur Prüfung erfasst werden. Mit der Aktivierung dieser Einstellung steigt jedoch die Anzahl der protokollierten Ereignisse.
Ort
Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Sicherheitsoptionen
Standardwerte
In der folgenden Tabelle sind die tatsächlichen und effektiven Standardwerte für diese Richtlinie aufgeführt. Standardwerte werden auch auf der Eigenschaftenseite der Richtlinie aufgelistet.
| Servertyp oder Gruppenrichtlinienobjekt | Standardwert |
|---|---|
Standarddomänenrichtlinie |
Nicht definiert |
Standardrichtlinie für Domänencontroller |
Nicht definiert |
Standardeinstellungen für eigenständige Server |
Deaktiviert |
Effektive Standardeinstellungen für DC |
Deaktiviert |
Effektive Standardeinstellungen für Mitgliedsserver |
Deaktiviert |
Effektive Standardeinstellungen für Clientcomputer |
Deaktiviert |
Richtlinienverwaltung
In diesem Abschnitt werden die verfügbaren Features und Tools zum Verwalten dieser Richtlinie beschrieben.
Das Aktivieren dieser Richtlinieneinstellung kann zu einem erheblichen Verwaltungsaufwand führen, insbesondere wenn Sie für die Einstellung Aufbewahrungsmethode des Sicherheitsprotokolls die Option Ereignisse nicht überschreiben (Protokoll manuell aufräumen) auswählen. Mit dieser Einstellung wird ein Abstreiten von Aktivitäten bzw. ein Repudiation-Angriff (z. B. wenn ein Sicherungsoperator die Sicherung oder Wiederherstellung von Daten leugnet) zu einer Denial-of-Service-Bedrohung. Der Grund dafür ist, dass ein Server zum Herunterfahren gezwungen werden kann, wenn er mit Anmeldeereignissen und anderen Sicherheitsereignissen überhäuft wird, die in das Sicherheitsprotokoll geschrieben werden. Da das Herunterfahren nicht ordnungsgemäß erfolgt, kann es zudem zu irreparablen Schäden am Betriebssystem, an den Anwendungen oder den Daten kommen. Obwohl das NTFS-Dateisystem garantiert, dass die Integrität des Dateisystems bei einem plötzlichen Herunterfahren des Systems erhalten bleibt, kann es nicht gewährleisten, dass bei einem Neustart alle Datendateien sämtlicher Anwendungen weiterhin verwendbar sind.
Neustartanforderung
Keine. Wenn Änderungen an dieser Richtlinie lokal gespeichert oder über Gruppenrichtlinien verteilt werden, treten sie ohne einen Neustart des Computers in Kraft.
Gruppenrichtlinie
Das Ändern dieser Einstellung kann sich auf die Kompatibilität mit Clients, Diensten und Anwendungen auswirken.
Sicherheitsaspekte
In diesem Abschnitt wird beschrieben, wie ein Angreifer ein Feature oder dessen Konfiguration missbrauchen kann und wie Gegenmaßnahmen implementiert werden können. Zudem werden mögliche negative Auswirkungen der Implementierung von Gegenmaßnahmen erläutert.
Sicherheitsrisiko
Wenn der Computer keine Ereignisse im Sicherheitsereignisprotokoll aufzeichnen kann, stehen nach einem Sicherheitsvorfall möglicherweise weder ein Nachweis noch nützliche Problembehandlungsinformationen zur Verfügung. Zudem könnte ein Angreifer eine große Anzahl von zu protokollierenden Sicherheitsereignissen generieren, um das Herunterfahren zu erzwingen.
Gegenmaßnahme
Aktivieren Sie die Einstellung Überwachung: System sofort herunterfahren, wenn Sicherheitsüberprüfungen nicht protokolliert werden können, um sicherzustellen, dass Sicherheitsüberwachungsinformationen zur Prüfung erfasst werden.
Mögliche Auswirkung
Das Aktivieren dieser Richtlinieneinstellung kann zu einem erheblichen Verwaltungsaufwand führen, insbesondere wenn Sie für die Einstellung Aufbewahrungsmethode des Sicherheitsprotokolls die Option Ereignisse nicht überschreiben (Protokoll manuell aufräumen) auswählen. Mit dieser Einstellung wird ein Abstreiten von Aktivitäten bzw. ein Repudiation-Angriff (z. B. wenn ein Sicherungsoperator die Sicherung oder Wiederherstellung von Daten leugnet) zu einer Denial-of-Service-Bedrohung. Der Grund dafür ist, dass ein Server zum Herunterfahren gezwungen werden kann, wenn er mit Anmeldeereignissen und anderen Sicherheitsereignissen überhäuft wird, die in das Sicherheitsereignisprotokoll geschrieben werden. Da das Herunterfahren abrupt erfolgt, kann es zudem zu irreparablen Schäden des Betriebssystems, der Anwendungen oder der Daten kommen. Obwohl die Integrität des NTFS-Dateisystem bei einem plötzlichen Herunterfahren des Systems erhalten bleibt, kann es nicht gewährleisten, dass bei einem Neustart des Geräts alle Datendateien sämtlicher Anwendungen weiterhin verwendbar sind.