System nie ostrzega o zmianach konta

System nieostrzegający o zmianach konta wskazuje na wyłączoną inspekcję zdarzeń zarządzania kontami w zasadach lokalnych.

Co oznacza brak ostrzeżeń o zmianach konta

Komunikat lub obserwacja, że system nie ostrzega o zmianach konta, zwykle odnosi się do braku zdarzeń w dzienniku zabezpieczeń systemu Windows. Sam fakt, że użytkownik został utworzony, usunięty, zablokowany albo otrzymał nowe uprawnienie, nie gwarantuje pojawienia się wpisu w Podglądzie zdarzeń. Rejestrowanie takich operacji zależy od skonfigurowanej zasady inspekcji, czyli mechanizmu audytu zdarzeń bezpieczeństwa.

Najważniejsza w tym przypadku jest zasada Audit User Account Management, po polsku spotykana jako inspekcja zarządzania kontami użytkowników. Obejmuje ona między innymi tworzenie, modyfikowanie i usuwanie lokalnych kont użytkowników, zmianę ich nazw, zmianę haseł oraz modyfikowanie członkostwa w grupach. Windows może również rejestrować operacje dotyczące kont komputerów za pomocą osobnej zasady Audit Computer Account Management. Wyłączenie odpowiedniej kategorii powoduje, że późniejsza analiza dziennika nie pokaże części zmian, mimo że same zmiany zostały wykonane prawidłowo.

Jakie zdarzenia powinny pojawić się w dzienniku zabezpieczeń

Po włączeniu inspekcji zarządzania kontami system Windows zapisuje zdarzenia w dzienniku Security. Do często spotykanych identyfikatorów należą między innymi 4720, oznaczający utworzenie konta użytkownika, 4722 dotyczący włączenia konta, 4725 dotyczący jego wyłączenia oraz 4726 związany z usunięciem konta. Zmiana nazwy konta użytkownika jest rejestrowana jako zdarzenie 4781, a zmiana hasła użytkownika może pojawić się jako zdarzenie 4723 lub 4724, zależnie od tego, czy hasło zmienił sam użytkownik, czy administrator.

Zmiany członkostwa w grupach mają odrębne identyfikatory. Dodanie członka do lokalnej grupy zabezpieczeń może być widoczne jako zdarzenie 4732, usunięcie członka jako 4733, a utworzenie lub usunięcie grupy lokalnej odpowiednio jako 4731 i 4734. Wpis zawiera zwykle nazwę konta wykonującego operację, nazwę konta zmienianego, identyfikator zabezpieczeń oraz czas zdarzenia. Brak konkretnego wpisu nie zawsze oznacza awarię systemu: może wynikać z wyłączonej inspekcji, filtrowania dziennika, jego nadpisania po osiągnięciu limitu albo wykonania operacji przez mechanizm, który podlega innej kategorii audytu.

Sprawdzenie lokalnej zasady audytu w Windows

Konfigurację można sprawdzić w narzędziu Lokalna zasada zabezpieczeń. Po uruchomieniu secpol.msc należy przejść do sekcji Zasady lokalne, a następnie do Zasady inspekcji. Właściwość Inspekcja zarządzania kontami użytkowników powinna mieć zaznaczoną opcję rejestrowania powodzeń. Rejestrowanie niepowodzeń może być przydatne dodatkowo, gdy potrzebne jest wykrywanie odrzuconych prób operacji. W systemach, w których dostępne są rozszerzone zasady inspekcji, ustawienie w gałęzi Advanced Audit Policy Configuration może mieć pierwszeństwo przed starszą kategorią zasad lokalnych.

Stan konfiguracji można także odczytać z wiersza polecenia za pomocą narzędzia auditpol.exe. Polecenie auditpol /get /subcategory:"User Account Management" zwraca ustawienie podkategorii odpowiedzialnej za zarządzanie kontami użytkowników. Dla kont komputerów używa się podkategorii Computer Account Management. Do sprawdzenia wpisów należy otworzyć eventvwr.msc, rozwinąć Dzienniki systemu Windows i wybrać Zabezpieczenia. Właściwa ocena wymaga porównania czasu zmiany konta z czasem utworzenia zdarzenia oraz sprawdzenia, czy dziennik nie został wyczyszczony lub nadpisany.

Przywrócenie rejestrowania zmian konta

Jeżeli inspekcja jest wyłączona, administrator może włączyć ją w ustawieniach lokalnej zasady zabezpieczeń, wybierając rejestrowanie powodzeń, niepowodzeń albo obu rodzajów zdarzeń, zależnie od potrzeb diagnostycznych. Po zmianie konfiguracji warto wykonać kontrolną operację na nieistotnym koncie testowym i sprawdzić, czy w dzienniku Security pojawił się odpowiadający jej wpis. Taki test odróżnia problem z zasadą audytu od problemu z filtrowaniem Podglądu zdarzeń lub nieprawidłową interpretacją identyfikatora.

Na komputerze należącym do domeny lokalne ustawienie może zostać zastąpione przez zasady grupy. W takiej sytuacji samo ustawienie opcji w secpol.msc nie zapewni trwałej zmiany, ponieważ podczas odświeżania zasad system otrzyma konfigurację z nadrzędnego źródła. Należy wtedy sprawdzić wynikowe zasady zabezpieczeń oraz źródło ustawienia. Trzeba również kontrolować rozmiar dziennika, sposób jego przechowywania i uprawnienia do odczytu, ponieważ zbyt mały limit może powodować usuwanie najstarszych zdarzeń.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki można sprawdzić także konfigurację systemu Windows odpowiedzialną za rejestrowanie zmian kont użytkowników. Analiza obejmuje odczyt ustawień audytu, weryfikację dziennika zabezpieczeń oraz rozróżnienie problemu konfiguracyjnego od rzeczywistej awarii systemu.