سلام دوست من

بدون انجام تنظیمات Auditing در پالیسی های امنیتی ویندوز، بسیاری از رویدادهای امنیتی در لاگ ثبت نمی شود. لذا لازم است ابتدا پالیسی های امنیتی (Audit Policies) فعال شوند تا این رویداد ها در لاگ Security ثبت گردد. من پیشنهاد می کنم رویداد های زیر مانیتور شوند:
• User logon/logoff
• computer logon/logoff/restart
• Access to objects, files and folders
• System time is modified
• Audit logs are cleared
نیاز نیست تا همه پالیسی های Auditing فعال شوند، انجام این کار موجب افزایش سریع حجم لاگ Security می شود، و چنانچه سایز لاگ به حد تعیین شده آن برسد عملیات Roll-Over صورت می پذیرد به این معنی که رویدادهای های جدید بر روی رویدادهای قبلی ثبت می شود و رویداد های قدیمی از بین می رود. همچنین فعال سازی Audit برای تلاش های غیر موفق مهم تر از تلاش های موفق است.