Sie müssen die folgenden Ereignisse in Ihrer Domäne auditieren: neue Benutzererstellungen (4720), Kontosperrungen (4740) und fehlgeschlagene Anmeldungen (4625). Zusätzlich müssen Sie Versuche erkennen, Objekte innerhalb der OU „Service Accounts“ zu ändern. Alle Domänencontroller verwenden Windows Server 2019. Welche zwei Konfigurationen sollten Sie implementieren?

Die Aktivierung von „Audit Account Management (Success)“ erfasst Ereignis 4720 (Benutzererstellung) und 4740 (Kontosperrung), während „Audit Logon (Failure)“ Ereignis 4625 (fehlgeschlagene Anmeldung) protokolliert. Diese Einstellungen werden in der „Default Domain Controllers Policy“ angewendet, um alle Domänencontroller zu beeinflussen. Eine SACL (System Access Control List) auf der OU „Service Accounts“ mit Überwachung von „Write all properties“ und „Create/Delete child objects“ ist erforderlich, um Änderungen an Objekten innerhalb dieser OU zu erkennen, da dies spezifische Objektzugriffsereignisse generiert. Die Option, nur „Directory Service Changes“ zu aktivieren, ist unzureichend, da sie nicht alle erforderlichen Ereignisse abdeckt und keine spezifische Überwachung für die OU „Service Accounts“ bietet. Die Aktivierung der Legacy-Audit-Richtlinie wird nicht empfohlen, da die erweiterte Überwachungsrichtlinie eine granularere Kontrolle bietet und Konflikte bei gleichzeitiger Aktivierung auftreten können. Die Objektzugriffsüberwachung nur auf Mitgliedsservern ist irrelevant, da die gewünschten Ereignisse auf Domänencontrollern generiert werden.