2019년 9월 8일 일요일

윈도우 보안 이벤트 설정

얼마 전 사용 중이던 윈도우10 업데이트(1903)를 했더니 그 전까지 잘 수집되던 보안 이벤트가 안 들어온다. 업데이트 과정에서 보안 이벤트 설정이 초기화된 모양. 관련 설정을 위한 'Windows 관리 도구 > 로컬 보안 정책' 메뉴.


그런데 해당 메뉴는 9개의 카테고리 단위로만 설정이 가능하다. '개채 액세스 감사' 정책을 설정하면 해당 카테고리에 포함된 모든 하위 옵션이 한꺼번에 설정된다는 얘기. 하위 옵션 단위로 설정하고 싶다면 auditpol 명령을 사용해야 한다.
C:\Users\Administrator>auditpol /get /category:*
시스템 감사 정책
범주/하위 범주                                  설정
시스템
  보안 시스템 확장                               감사 없음
  시스템 무결성                                 성공 및 실패
  IPsec 드라이버                              감사 없음
  기타 시스템 이벤트                              성공 및 실패
  보안 상태 변경                                성공
로그온/로그오프
  로그온                                     성공 및 실패
  로그오프                                    성공
  계정 잠금                                   성공
  IPsec 주 모드                              감사 없음
  IPsec 빠른 모드                             감사 없음
  IPsec 확장 모드                             감사 없음
  특수 로그온                                  성공
  기타 로그온/로그오프 이벤트                         감사 없음
  네트워크 정책 서버                              성공 및 실패
  사용자/장치 클레임                              감사 없음
  그룹 구성원                                  감사 없음
개체 액세스
  파일 시스템                                  성공 및 실패
  레지스트리                                   성공 및 실패
  커널 개체                                   감사 없음
  SAM                                     감사 없음
  인증 서비스                                  감사 없음
  응용 프로그램 생성됨                             감사 없음
  핸들 조작                                   감사 없음
  파일 공유                                   성공 및 실패
  필터링 플랫폼 패킷 삭제                           감사 없음
  필터링 플랫폼 연결                              성공 및 실패
  기타 개체 액세스 이벤트                           성공 및 실패
  세부 파일 공유                                성공 및 실패
  이동식 저장소                                 성공 및 실패
  중앙 정책 준비                                감사 없음
권한 사용
  중요하지 않은 권한 사용                           감사 없음
  기타 권한 사용 이벤트                            감사 없음
  중요한 권한 사용                               성공 및 실패
세부 추적
  프로세스 만들기                                성공 및 실패
  프로세스 종료                                 감사 없음
  DPAPI 작업                                감사 없음
  RPC 이벤트                                 감사 없음
  플러그 앤 플레이 이벤트                           감사 없음
  토큰 권한 조정 이벤트                            성공 및 실패
정책 변경
  감사 정책 변경                                성공
  인증 정책 변경                                성공
  권한 부여 정책 변경                             감사 없음
  MPSSVC 규칙 수준 정책 변경                      감사 없음
  필터링 플랫폼 정책 변경                           감사 없음
  기타 정책 변경 이벤트                            감사 없음
계정 관리
  컴퓨터 계정 관리                               성공 및 실패
  보안 그룹 관리                                성공
  메일 그룹 관리                                감사 없음
  응용 프로그램 그룹 관리                           감사 없음
  기타 계정 관리 이벤트                            감사 없음
  사용자 계정 관리                               성공 및 실패
DS 액세스
  디렉터리 서비스 액세스                            감사 없음
  디렉터리 서비스 변경                             감사 없음
  디렉터리 서비스 복제                             감사 없음
  세부 디렉터리 서비스 복제                          감사 없음
계정 로그온
  Kerberos 서비스 티켓 작업                      감사 없음
  기타 계정 로그온 이벤트                           감사 없음
  Kerberos 인증 서비스                         감사 없음
  자격 증명 유효성 검사                            감사 없음

다음은 'DS 액세스' 카테고리 전체 정책을 활성화하는 명령어. 모든 하위 옵션의 성공/실패 이벤트 생성이 설정된다.
C:\Users\Administrator>auditpol /set /category:"DS 액세스" /success:enable /failure:enable
명령이 실행되었습니다.

C:\Users\Administrator>auditpol /get /category:"DS 액세스"
시스템 감사 정책
범주/하위 범주                                  설정
DS 액세스
  디렉터리 서비스 변경                             성공 및 실패
  디렉터리 서비스 복제                             성공 및 실패
  세부 디렉터리 서비스 복제                          성공 및 실패
  디렉터리 서비스 액세스                            성공 및 실패

다음은 'DS 액세스' 카테고리 정책 원복 과정.
C:\Users\Administrator>auditpol /set /category:"DS 액세스" /success:disable /failure:disable
명령이 실행되었습니다.

C:\Users\Administrator>auditpol /get /category:"DS 액세스"
시스템 감사 정책
범주/하위 범주                                  설정
DS 액세스
  디렉터리 서비스 변경                             감사 없음
  디렉터리 서비스 복제                             감사 없음
  세부 디렉터리 서비스 복제                          감사 없음
  디렉터리 서비스 액세스                            감사 없음

다음은 특정 하위 옵션만 설정.
C:\Users\Administrator>auditpol /set /subcategory:"디렉터리 서비스 변경" /success:enable /failure:enable
명령이 실행되었습니다.

C:\Users\Administrator>auditpol /get /category:"DS 액세스"
시스템 감사 정책
범주/하위 범주                                  설정
DS 액세스
  디렉터리 서비스 변경                             성공 및 실패
  디렉터리 서비스 복제                             감사 없음
  세부 디렉터리 서비스 복제                          감사 없음
  디렉터리 서비스 액세스                            감사 없음

참고로 '고급 감사 정책 구성'을 통해서도 세부 정책을 결정할 수 있는데, 해당 편집기를 사용하면 auditpol로 수립한 정책이 모두 날아가더라. '로컬 감사/고급 감사 정책', auditpol 세 기능이 서로 호환이 안 되는 모양.


관련 글

댓글 없음:

댓글 쓰기

크리에이티브 커먼즈 라이선스