Superviser les événements de sécurité importants

La surveillance des tentatives de logon
est un bon moyen pour détecter des
attaques et une activité suspecte.
Win2K offre deux catégories de stratégies
d’audit : Audit logon events et
Audit account logon events. Il importante
de bien distinguer ces catégories.
Audit logon events génère des logon
events sur le système local sur lequel le
logon se produit, tandis que Audit account
logon events génère des événements
quand quelqu’un essaie de s’authentifier
avec un compte qui est
stocké sur l’ordinateur sur lequel le logon
event est enregistré. Win2K suit les
deux types de logons : compte de domaine
et compte SAM local.
Quand quelqu’un se connecte à 
votre station de travail avec un compte
de domaine, cette personne fait deux
choses : elle se connecte à  votre station
de travail mais elle s’authentifie aussi
en utilisant un compte qui est stocké
sur le DC. Par conséquent, Audit logon
events génèrera des événements dans
le journal de sécurité de votre station
de travail et Audit account logon
events génèrera des événements sur le
journal de sécurité du DC. Quelques
secondes après que quelqu’un se soit
connecté à  votre station de travail,
Audit logon events génèrera des événements
sur le DC parce que votre station
de travail se connectera comme si
c’était vous au DC pour appliquer des
Stratégies de groupe au niveau utilisateur.
Audit logon events génèrera aussi
des événements sur les serveurs
membres parce que votre station de
travail, au fur et à  mesure qu’elle traite
votre logon script et vos mappings de
drive persistents, se connectera comme
si c’était vous aux divers serveurs
membres afin de pouvoir associer les
lecteurs aux dossiers partagés. De la
même manière, Audit logon events génèrera
des événements sur un serveur
quand quelqu’un se connectera à  la
console du serveur ou accèdera au serveur
sur le réseau en utilisant soit un
compte de domaine soit un compte local
dans le SAM du serveur. Mais vous
ne verrez l’activité Audit account logon
events que quand quelqu’un se
connectera au serveur (interactive-ment ou sur le réseau) en utilisant un
compte local dans le SAM du serveur
plutôt qu’un compte de domaine.
Quand on examine des événements
que Audit logon events génère
sur les DC, il faut se souvenir que ces
événements reflètent les logons interactifs
au DC ainsi que les logons qui se
produisent sur le réseau. Les ordinateurs
membres dans le domaine accèdent
régulièrement aux DC pour rafraîchir
Group Policy, à  la fois comme
compte ordinateur et comme l’utilisateur
actuellement connecté. L’examen
des événements que Audit account logon
events génère sur vos DC révèlera
toute tentative de connexion avec un
compte de domaine à  partir de n’importe
quel ordinateur du réseau, y
compris les logons aux stations de travail,
les connexions aux serveurs
membres, et les logons et connexions
au DC lui-même.