Je moet het volgende controleren in je domein: nieuwe gebruikersaanmaken (4720), accountvergrendelingen (4740) en mislukte aanmeldingen (4625). Daarnaast moet je pogingen detecteren om objecten binnen de OU 'Service Accounts' te wijzigen. Alle domeincontrollers draaien Windows Server 2019. Welke twee configuraties moet je implementeren?

De eerste correcte optie is het inschakelen van 'Audit Account Management (Success)' en 'Audit Logon (Failure)' via Advanced Audit Policy Configuration in het Default Domain Controllers Policy. Dit is nodig om gebeurtenis-ID 4720 (nieuwe gebruikersaanmaak) en 4625 (mislukte aanmeldingen) te loggen. Gebeurtenis-ID 4740 (accountvergrendelingen) valt ook onder 'Audit Account Management'. Het Default Domain Controllers Policy zorgt ervoor dat deze instellingen op alle domeincontrollers worden toegepast. De tweede correcte optie is het toevoegen van een SACL (System Access Control List) op de OU 'Service Accounts' om 'Write all properties' en 'Create/Delete child objects' te auditen, met logging van Directory Service Access-gebeurtenissen. Dit is de juiste methode om pogingen tot wijziging van objecten binnen een specifieke OU te detecteren. De andere opties zijn incorrect: Het alleen inschakelen van 'Directory Service Changes' is onvoldoende voor alle gevraagde gebeurtenissen. Legacy Audit Policy is verouderd en wordt niet aanbevolen in combinatie met Advanced Audit Policy Configuration. Object Access-auditing op lidservers is niet relevant voor het auditen van Active Directory-wijzigingen en aanmeldingen op domeincontrollers.