Chú ý đến các sự kiện truy cập bảo mật hệ thống
Có năm cách khác nhau để bạn có thể đăng nhập vào Windows được gọi là “các loại đăng nhập. ” Nhật ký bảo mật Windows liệt kê loại đăng nhập trong ID sự kiện 4624 bất cứ khi nào bạn đăng nhập. Loại đăng nhập cho phép bạn xác định xem người dùng đã đăng nhập vào bảng điều khiển thực tế, qua máy tính để bàn từ xa, qua chia sẻ mạng hay đăng nhập có được kết nối với một dịch vụ hoặc tác vụ theo lịch trình đang khởi động hay không. Các kiểu đăng nhập là:
Có một số loại đăng nhập khác được ID sự kiện 4624 ghi lại cho các trường hợp đặc biệt như mở khóa phiên bị khóa nhưng đây không phải là loại phiên đăng nhập thực sự.
Ngoài việc biết loại phiên trong các sự kiện đăng nhập, bạn cũng có thể kiểm soát khả năng đăng nhập của người dùng theo từng cách trong số 5 cách sau. Khả năng đăng nhập của tài khoản người dùng bị chi phối bởi năm quyền người dùng có trong chính sách nhóm trong Cấu hình máy tính/Cài đặt Windows/Cài đặt bảo mật/Gán quyền người dùng. Có quyền cho phép và từ chối đối với từng loại đăng nhập. Để đăng nhập theo cách nhất định, bạn phải có quyền cho phép tương ứng. Nhưng quyền từ chối đối với cùng loại đăng nhập đó được ưu tiên. Ví dụ: để đăng nhập vào bàn phím và màn hình cục bộ của máy tính, bạn phải có quyền “Cho phép đăng nhập cục bộ”. Nhưng nếu quyền “Từ chối đăng nhập cục bộ” cũng được gán cho bạn hoặc bất kỳ nhóm nào bạn thuộc về, bạn sẽ không thể đăng nhập. Bảng liệt kê từng loại đăng nhập và các quyền cho phép và từ chối tương ứng.
Quyền đăng nhập rất mạnh mẽ. Chúng là cấp độ kiểm soát đầu tiên của bạn - xác định xem người dùng có thể truy cập vào một hệ thống nhất định hay không. Tất nhiên sau khi đăng nhập, khả năng của họ bị giới hạn bởi các quyền ở cấp độ đối tượng. Vì quyền đăng nhập rất mạnh nên điều quan trọng là phải biết liệu chúng có được cấp hay thu hồi đột ngột hay không. Bạn có thể thực hiện việc này với các sự kiện Nhật ký bảo mật Windows 4717 và 4718 được ghi lại bất cứ khi nào một quyền nhất định được cấp hoặc thu hồi tương ứng. Để nhận được những sự kiện này, bạn cần kích hoạt danh mục con kiểm tra Thay đổi chính sách xác thực kiểm toán.
Sự kiện 4717 và 4718 xác định quyền đăng nhập liên quan đến trường "Quyền truy cập được cấp"/"Đã xóa quyền truy cập" bằng cách sử dụng tên hệ thống cho quyền như được hiển thị trong cột tương ứng trong bảng trên. Các sự kiện cũng chỉ định người dùng hoặc nhóm đã được cấp hoặc thu hồi quyền trong trường “Tài khoản đã sửa đổi”.
Dưới đây là ví dụ về ID sự kiện 4717 trong đó chúng tôi đã cấp “Truy cập máy tính này từ mạng” cho nhóm Người dùng cục bộ.
Quyền truy cập bảo mật hệ thống đã được cấp cho một tài khoản.
Chủ đề:
ID bảo mật: HỆ THỐNG
Tên tài khoản: WIN-R9H529RIO4Y$
Miền tài khoản: WORKGROUP
ID đăng nhập: 0x3e7
Tài khoản Đã sửa đổi:
Tên tài khoản: BUILTINUsers
Đã cấp quyền truy cập:
Quyền truy cập: SeNetworkLogonRight
Một điều cần cân nhắc là các sự kiện không cho bạn biết ai (quản trị viên nào) đã cấp hoặc thu hồi quyền. Lý do là quyền của người dùng được kiểm soát thông qua các đối tượng chính sách nhóm. Quản trị viên không trực tiếp chuyển nhượng hoặc thu hồi quyền người dùng trên từng hệ thống; ngay cả khi bạn sửa đổi Cài đặt bảo mật cục bộ của máy tính, bạn thực sự chỉ đang chỉnh sửa đối tượng chính sách nhóm cục bộ. Khi Windows phát hiện thay đổi trong chính sách nhóm, nó sẽ áp dụng các thay đổi đó cho cấu hình cục bộ và đó là lúc 4717 và 4718 được ghi lại. Tại thời điểm đó, người dùng thực hiện thay đổi trực tiếp chỉ là hệ điều hành cục bộ và đó là lý do tại sao bạn thấy HỆ THỐNG được liệt kê là Chủ đề trong sự kiện ở trên.
Vậy làm thế nào bạn có thể tìm ra ai đã cấp hoặc loại bỏ quyền? Bạn cần theo dõi các thay đổi đối tượng chính sách nhóm, một chủ đề tôi sẽ đề cập trong tương lai.