Überwachung und Protokollierung in Active Directory

Die Überwachung und Protokollierung von Ereignissen in Active Directory (AD) ist entscheidend, um die Sicherheit und Stabilität der Umgebung zu gewährleisten. Mit den richtigen Tools und Protokollierungseinstellungen können Administratoren Probleme frühzeitig erkennen, Angriffe verhindern und die Einhaltung von Compliance-Anforderungen sicherstellen.

---

1. Ereignisprotokolle und Diagnosetools

a) Ereignisprotokolle in Active Directory:

• Windows protokolliert alle sicherheits- und systemrelevanten Ereignisse in der Ereignisanzeige.
• Wichtige Protokolle für AD:
  1. Verzeichnisdienst (Directory Service):
     • Enthält Informationen über AD-spezifische Ereignisse, wie Replikationsprobleme oder Schemaänderungen.
     • Speicherort: Ereignisanzeige > Anwendungen und Diensteprotokolle > Verzeichnisdienst.
  2. DNS-Server:
     • Protokolliert DNS-bezogene Ereignisse, die für die Funktion von AD wichtig sind.
     • Speicherort: Ereignisanzeige > Anwendungen und Diensteprotokolle > DNS-Server.
  3. Sicherheitsprotokoll:
     • Enthält sicherheitsrelevante Ereignisse wie Anmeldeversuche, Kontoänderungen und Zugriffsversuche.
     • Speicherort: Ereignisanzeige > Windows-Protokolle > Sicherheit.
  4. Systemprotokoll:
     • Protokolliert Systemereignisse wie Dienststarts, Fehler und Hardwareprobleme.
     • Speicherort: Ereignisanzeige > Windows-Protokolle > System.

b) Wichtige Ereignis-IDs:

• Anmeldeereignisse:
  • 4624: Erfolgreiche Anmeldung.
  • 4625: Fehlgeschlagene Anmeldung.
• Kontoänderungen:
  • 4720: Benutzerkonto wurde erstellt.
  • 4726: Benutzerkonto wurde gelöscht.
  • 4732: Mitgliedschaft in einer Sicherheitsgruppe wurde geändert.
• Replikation:
  • 2042: Ein Domänencontroller wurde länger als die Tombstone-Lebensdauer nicht repliziert.
• DNS:
  • 4013: DNS-Server wartet auf die AD-Replikation.

c) Diagnosetools:

1. DCDiag:
   • Diagnosetool zur Überprüfung des Zustands von Domänencontrollern.
   • Beispiel: dcdiag /test:replications prüft die Replikation.
2. Repadmin:
   • Überwacht und verwaltet die AD-Replikation.
   • Beispiel: repadmin /showrepl zeigt den Replikationsstatus an.
3. Netdiag:
   • Überprüft Netzwerkverbindungen und DNS-Konfigurationen.
4. PowerShell:
   • Beispiel: Get-EventLog -LogName Security zeigt Sicherheitsereignisse an.
5. Event Viewer (Ereignisanzeige):
   • Grafisches Tool zur Analyse von Ereignisprotokollen.
6. Performance Monitor:
   • Überwacht die Leistung von AD-Diensten und -Ressourcen.

---

2. Überwachung von AD-Diensten

a) Was sollte überwacht werden?

1. Domänencontroller:
   • Verfügbarkeit und Replikation.
   • Ressourcennutzung (CPU, RAM, Festplatte).
2. Benutzeraktivitäten:
   • Anmeldeversuche (erfolgreich und fehlgeschlagen).
   • Kontoänderungen (Erstellung, Löschung, Passwortänderungen).
3. Gruppenrichtlinien:
   • Änderungen an GPOs.
   • Anwendung von Richtlinien auf Benutzer und Computer.
4. DNS:
   • Verfügbarkeit und Konsistenz der DNS-Zonen.
   • Änderungen an DNS-Einträgen.
5. Replikation:
   • Status der AD-Replikation zwischen Domänencontrollern.
   • Fehler oder Verzögerungen bei der Replikation.

b) Tools zur Überwachung:

1. Microsoft Event Viewer:
   • Standardtool zur Überwachung von Ereignisprotokollen.
2. Microsoft System Center Operations Manager (SCOM):
   • Enterprise-Tool zur Überwachung von AD und anderen Diensten.
3. Active Directory Administrative Center (ADAC):
   • Ermöglicht die Überwachung und Verwaltung von AD-Objekten.
4. Third-Party-Tools:
   • Tools wie SolarWinds, ManageEngine ADAudit Plus oder Quest Active Roles bieten erweiterte Überwachungsfunktionen.
5. PowerShell-Skripte:
   • Automatisiere die Überwachung mit PowerShell.
   • Beispiel: Überwache Anmeldeereignisse:Get-WinEvent -LogName Security | Where-Object { $_.Id -eq 4624 } Copy

c) Überwachungsrichtlinien aktivieren:

• Aktiviere die Überwachung von sicherheitsrelevanten Ereignissen über Gruppenrichtlinien:
  • Pfad: Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Überwachungsrichtlinie.
  • Wichtige Einstellungen:
    • Anmeldeereignisse überwachen: Überwacht erfolgreiche und fehlgeschlagene Anmeldeversuche.
    • Verzeichnisdienstzugriff überwachen: Überwacht Änderungen an AD-Objekten.
    • Kontoanmeldung überwachen: Überwacht Anmeldungen mit Domänenkonten.