Musisz przeprowadzić audyt następujących zdarzeń w swojej domenie: tworzenie nowych użytkowników (4720), blokady kont (4740) i nieudane logowania (4625). Dodatkowo musisz wykrywać próby modyfikacji obiektów w jednostce organizacyjnej „Service Accounts”. Wszystkie kontrolery domeny działają na systemie Windows Server 2019. Które dwie konfiguracje należy wdrożyć?

Aby audytować tworzenie użytkowników (4720) i blokady kont (4740), należy włączyć zaawansowane zasady audytu: „Audit Account Management” (dla sukcesów) w Default Domain Controllers Policy. Nieudane logowania (4625) są rejestrowane przez „Audit Logon” (dla niepowodzeń). Te ustawienia są wdrażane poprzez Advanced Audit Policy Configuration, co jest preferowaną metodą w Windows Server 2019. Wykrywanie prób modyfikacji obiektów w OU „Service Accounts” wymaga konfiguracji System Access Control List (SACL) bezpośrednio na tej jednostce organizacyjnej. Dodanie SACL, która audytuje „Write all properties” i „Create/Delete child objects” dla zdarzeń „Directory Service Access”, zapewni rejestrowanie zmian w obiektach w tej OU. Pozostałe opcje są nieprawidłowe, ponieważ: Włączenie tylko „Directory Service Changes” nie obejmuje wszystkich wymaganych zdarzeń. Starsze zasady audytu są przestarzałe i mogą powodować konflikty z zaawansowanymi zasadami. Audyt Object Access na serwerach członkowskich nie monitoruje zmian w Active Directory.