Att konfigurera en granskning är en av de viktigaste aspekterna av all säkerhetsarkitektur. För ADCS är loggning också viktig. Du kan aktivera och konfigurera granskning av Active Directory Certificate Services med hjälp av instruktionerna i den här artikeln.
Först och främst!
Det första steget är att se till att granskning är aktiverat på dina ADCS-servrar.
För detta, kör kommandot auditpol och se till att avancerad granskning av "Registry" och "Certificate Services" är aktiverade.
Vänta, men vad är Auditpol?
Windows samlar in loggar av alla slag, vilket kanske inte är användbart för oss och orsakar mycket förvirring och fokusförlust. För att åtgärda detta har Microsoft introducerat auditpol. Auditpol används för att kategorisera dessa loggar mer detaljerat på användarnivå.
Kom ihåg att uppdatera gruppolicyn efter att du har aktiverat den!
Några fler exempel på hur man använder auditpol visas nedan:
Exempelvis 1
Exempelvis 2
I vårt ADCS-användningsfall kommer vi att använda:
auditpol /get /category:*
Nästa steg är att aktivera övervakning med hjälp av ADCS-snapin-modulen.
Att göra detta, utföra d efter steg på ADCS servern.
- Öppna Serverhanteraren
- Välj Verktyg -> Certifikat Myndighet
- Högerklicka d CA-namn och välj Egenskaper.
- Välja bildskärm
- Möjliggöra Obligatorisk övervakning inställningar
- Säkerhets upp och återställa CA-databasen
- Ändra CA-konfiguration
- Ändra säkerhetsinställningar för CA
- utfärdande och hantera certifikatförfrågningar
- Återkalla certifikat och publicera CRL:er
- lagring och hämtning arkiverade nycklar
- Starta och stoppa d ADCS
Nästa steg är att aktivera ändringarna av certifikatmallen med hjälp av certutil kommando.
certutil –setreg policy\EditFlags +EDITF_AUDITCERTTEMPLATELOAD
Vissa ändringar kan göras direkt via registret, så registerrevision bör vara aktiveradFör detta behöver du:
- Öppet regedit på ADCS-servern
- Hitta nedanför registret Nyckel
- HKLM\System\CurrentControlSet\Services\CertSvc\Configuration\
- Höger klick on Konfiguration och välj behörigheter
- Klicka Detaljer
- Välja Övervakning och klicka på Lägg till
- Ställ in principalen till Autentiserade användare och konfigurera följande behörigheter:
- in värde
- skapa undernyckel
- brand släck
- skriva DAC
- skriva ägaren
- läsa kontroll
Starta om servern och se dina ändringar. Efter omstarten kommer du att se olika händelse-ID:n i säkerhetsloggen.
Starta om servern och verifiera ändringarna. Efter omstarten bör du se olika händelse-ID:n i dina säkerhetsloggar.
Nu har vi ADCS revision igång.
Du kan också sila granskningsloggarna via Azure Arc och Azure Sentinel med hjälp av "Data Collector Rules" i MS Azure.
