Vous devez auditer les éléments suivants dans votre domaine : les créations de nouveaux utilisateurs (4720), les verrouillages de compte (4740) et les échecs de connexion (4625). De plus, vous devez détecter les tentatives de modification d'objets au sein de l'unité d'organisation (OU) « Service Accounts ». Tous les contrôleurs de domaine exécutent Windows Server 2019. Quelles sont les deux configurations que vous devez implémenter ?

Pour auditer les créations d'utilisateurs (4720) et les verrouillages de compte (4740), vous devez activer l'audit de la gestion des comptes (Succès). Pour les échecs de connexion (4625), l'audit de la connexion (Échec) est nécessaire. Ces configurations se trouvent dans la stratégie d'audit avancée des contrôleurs de domaine. Pour détecter les modifications d'objets dans l'OU « Service Accounts », une liste de contrôle d'accès système (SACL) doit être ajoutée à cette OU. Cette SACL doit spécifier l'audit des écritures de toutes les propriétés et des créations/suppressions d'objets enfants, générant ainsi des événements d'accès au service d'annuaire. L'activation de la sous-catégorie « Directory Service Changes » seule ne suffirait pas pour les événements 4720, 4740 et 4625. L'utilisation de la stratégie d'audit héritée est déconseillée avec l'audit avancé, et l'audit d'accès aux objets sur les serveurs membres ne capturerait pas les modifications sur les contrôleurs de domaine.