È necessario controllare quanto segue nel proprio dominio: nuove creazioni di utenti (4720), blocchi di account (4740) e accessi non riusciti (4625). Inoltre, è necessario rilevare i tentativi di modifica di oggetti all'interno dell'unità organizzativa (OU) 'Service Accounts'. Tutti i controller di dominio eseguono Windows Server 2019. Quali due configurazioni è opportuno implementare?

Per rilevare le nuove creazioni di utenti (4720) e i blocchi di account (4740), è necessario abilitare l'audit di Account Management (Success) tramite la configurazione avanzata dei criteri di audit sulla Default Domain Controllers Policy. Per gli accessi non riusciti (4625), è necessario abilitare l'audit di Logon (Failure). Questi eventi sono generati dai controller di dominio. Per rilevare i tentativi di modifica degli oggetti nell'OU 'Service Accounts', è necessario configurare una System Access Control List (SACL) sull'OU stessa, specificando l'audit di 'Write all properties' e 'Create/Delete child objects' per gli eventi di Directory Service Access. Le opzioni errate includono: Abilitare solo 'Directory Service Changes' non coprirebbe 4720, 4740 e 4625. L'abilitazione della legacy Audit Policy 'Audit account logon events' è meno granulare e non è la pratica raccomandata con le Advanced Audit Policies. L'auditing di Object Access sui server membri non rileverebbe le modifiche agli oggetti di Active Directory sui controller di dominio.