定义或修改事件类别的审核策略设置

应用到: Windows 7, Windows Server 2008 R2

通过为特定的事件类别定义审核设置,可以创建一个适合组织安全需要的审核策略。在加入域中的成员服务器和工作站上,默认情况下未定义事件类别的审核设置。默认情况下,域控制器上的审核是打开的。有关事件类别列表和详细信息,请参阅审核策略

本地管理员是完成此过程所需的最低组成员身份。

定义或修改本地计算机的事件类别的审核策略设置的步骤
  1. 打开“本地安全策略”管理单元,然后选择“本地策略”

  2. 在控制台树中,单击“审核策略”

    位置?

    • “安全设置”/“本地策略”/“审核策略”

  3. 在结果窗格中,双击您要为其更改审核策略设置的事件类别。

  4. 执行以下两种操作之一或全部,然后单击“确定”

    • 若要审核成功的尝试,则选择“成功”复选框。

    • 若要审核未成功的尝试,则选择“失败”复选框。

其他注意事项

  • 若要打开“本地安全策略”管理单元,请单击“开始”,指向“管理工具”,然后单击“本地安全策略”

域管理员是完成此过程所需的最低组成员身份。

定义或修改域或组织单位的事件类别的审核策略设置(当您位于加入到域中的成员服务器或工作站上时)
  1. 如果未安装组策略管理控制台 (GPMC),则打开“服务器管理器”,并在“功能摘要”下,单击“添加功能”。选中“组策略管理”复选框,单击“下一步”,然后单击“安装”

  2. “安装结果”页显示 GPMC 的安装成功后,单击“关闭”

  3. 单击“开始”,指向“管理工具”,然后单击“组策略管理”

  4. 在控制台树中,双击包含要编辑的“默认域策略”组策略对象 (GPO) 的林和域中的“组策略对象”

  5. 右键单击“默认域策略”GPO,然后单击“编辑”

  6. 在 GPMC 中,依次转到“计算机配置”“Windows 设置”“安全设置”,然后单击“审核策略”

  7. 在结果窗格中,双击您要为其更改审核策略设置的事件类别。

  8. 如果您首次定义该事件类别的审核策略设置,则选择“定义这些策略设置”复选框。

  9. 执行以下两种操作之一或全部,然后单击“确定”

    • 若要审核成功尝试,则选择“成功”复选框。

    • 若要审核未成功的尝试,则选择“失败”复选框。

其他注意事项

  • 若要从 Windows 界面打开 Microsoft 管理控制台,则单击“开始”,在“开始搜索”文本框中键入 mmc,然后按 Enter。

  • 若要审核对象访问,则通过以上步骤启用对象访问事件类别的审核。然后,启用特定对象的审核。

  • 配置了审核策略后,将在“安全”日志中记录事件。打开“安全”日志查看这些事件。

  • 域控制器的默认审核策略设置为“无审核”。这意味着即使在域中启用了审核,域控制器也不会在本地继承审核策略。如果要将域审核策略应用到域控制器,必须修改此策略设置。

其他参考

社区附加资源

添加
显示: