Active-Directory-Tipp: So aktivieren Sie das Auditing für die Prozessnachverfolgung (Audit Process Tracking)

Erstellung oder Beendigung von Prozessen, Handle-Duplizierung oder indirekter Objektzugriff: Diese Windows-Ereignisse können Hinweise auf böswillige Akteure geben, die versuchen, das Unternehmensnetzwerk unter ihre Kontrolle zu bringen. Da ein Auditing dieser prozessbezogenen Ereignisse allerdings auch zu einer großen Anzahl an Datensätzen führen kann, ist die Überwachungsrichtlinie „Audit Process Tracking“ (deutsch: „Prozessnachverfolgung überwachen“) in Windows standardmäßig deaktiviert. 

Um potentiell schädliche Aktivitäten im Firmennetzwerk frühzeitig erkennen zu können, sollten Ereignisse im Zusammenhang mit Prozessen Bestandteil Ihrer Monitoring-Aktivitäten sein. 

Dazu müssen Sie zunächst die Audit-Richtlinie „Audit Process Tracking“ aktivieren, damit prozessbezogene Ereignisse protokolliert werden, sobald eine bestimmte Aktivität auftritt. Dies hilft Ihnen dabei, jedes Programm zu verfolgen, das entweder vom System oder von Endanwendern ausgeführt wird. Auf diese Weise können Sie bösartige Anwender und die Programme, die sie nutzen, besser aufspüren und frühzeitig eingreifen. Auch für die Incident Response liefern Ihnen z. B. die detaillierten Log-Einträge zu gestarteten Prozessen inklusive Startzeitpunkt wertvolle Informationen. 

Voraussetzung für das Auditing ist allerdings auch hier, dass zunächst die erforderlichen Audit-Richtlinien für die Überwachung des Active Directory konfiguriert werden.

Falls gewünscht, unterstützt Sie ADAudit Plus bei dieser Aufgabe: Sofern Sie die automatische Konfiguration aktiviert haben, konfiguriert die Lösung nach der Installation automatisch die für das Active-Directory-Auditing erforderlichen Überwachungsrichtlinien.

• Melden Sie sich bei ADAudit Plus an und gehen Sie auf den Reiter „Server Audits“.
• Im linken Navigationsmenü finden Sie unter „Process Tracking“ mehrere vorkonfigurierte Berichte zur Prozessaktivität im Active Directory:
  • Der Bericht „New Process Created“ zeigt Ihnen alle neu erstellten Prozesse mit detaillierten Angaben zum Prozessnamen, zum Zeitpunkt der Erstellung, zum Computer, auf dem der Prozess erstellt wurde, etc.
  • Der Bericht „New Process Exited“ listet alle Prozesse auf, die abgebrochen wurden. So wissen Sie genau, wann ein Prozess beendet wurde, und wie lange ein Programm lief.
  • Der Bericht „Who startet a process“ gibt Auskunft über Programme, die von Benutzern auf ihren Computern ausgeführt werden, und hilft, bösartigen Aktivitäten in Ihrem Netzwerk auf die Spur zu kommen.