مثال عملي Audit
يكي از مواردي كه داراي اهميت مي باشد استفاده از Audit Object Access است كه بر خلاف ديگر گزينه ها بايستي در دو مرحله اجرا شود . براي مثال عملي اين بخش اين گزينه را انتخاب مي كنيم .
روش كار بدين شكل است :
براي فعال سازي Audit Object Access و اجراي آن تنظيمات دو بخش در سيستم عامل مورد نياز است . اول اينكه Policy مربوطه بايد در Group Policy تعريف گردد . براي Audit دو انتخاب Success و Failure را ملاحظه مي كنيم .
اين مطلب نشان دهنده اين است كه بررسي رخداد ها هم در حالت دسترسي موفقيت آميز و هم در حالت دسترسي ناموفق ثبت و Log برداري شوند . توصيه مي كنيم در مواردي كه ضروري است حتما اين دو انتخاب را برگزينيد . براي مثال از Policy هايي كه انتخاب اين دو گزينه در آن از اهميت بالايي برخوردار است Policy هاي مربوط به Logon مي باشد :
Audit Account Logon Events
Audit Logon Events
دقت كنيد كه اين دو متفاوت مي باشند . سعي كنيد تفاوت آنها را پيدا كنيد !
در مرحله بعد بايستي بر روي Object مربوطه Audit را فعال كنيم . براي مثال از فولدري با نام List در درايو C , Properties ميگيريم . در سربرگ Security مطبق شكل زير گزينه Advanced را انتخاب مي كنيم .
در كادر باز شده ملاحظه مي كنيد كه سربرگ Auditing وجود دارد :
سپس با كليك بر روي Add يوزر مورد نظر خود را براي رهگيري بر مي گزينيم . پس Apply , Policy مورد نظر فعال گشته است .
اين Policy را براي محيط Local فعال كرديم . حال اگر بخواهيم در محيط Active Directory يك Object خاص را مورد بررسي قرار دهيم به طريق زير عمل مي كنيم :
1. ابتدا كنسول Active Directory Users and Computers را باز مي كنيم .
2. در كنسول باز شده View را كليك كرده و سپس Advanced Features را انتخاب مي كنيم . ( مطابق شكل )
3. در ادامه Object مورد نظر خود را بر گزيده و سپس از طريق دكمه Action , Properties را نتخاب مي كنيم . در اينجا ما Domain Controller را انتخاب كرديم .
4. مطابق شكل در سربرگ Security گزينه Advanced را كليك مي كنيم . ادامه مسير مانند قبل است و با اضافه كردن User مي توانيم رخداد هاي مربوط به آن را رهگيري كنيم .
دقت كنيد كه پس از انتخاب User مورد نظر در ادامه كادري براي شما باز مي گردد كه Audit Entry نام دارد و از طريق آن مي توانيد مواردي را كه براي شما اهميت بيشتري دارد براي رهگيري انتخاب كنيد . اين كادر هم در حالت Local و هم در Active Directory مورد استفاده قرار مي گيرد .
نكته مهمي كه در اينجا مورد توجه قرار مي گيرد اين است كه Log ها ثبت شده را به چه طريق بررسي كنيم . Event Viewer نام نرم افزاري است كه بصورت Built In در ويندوز وجود دارد . اين نرم افزار را مي توانيد از طريق Administrative Tools ببينيد . كنسول آن مطابق شكل زير است :
همانطور كه ملاحظه مي كنيد در بخش Security مي توانيد Log هاي ثبت شده مرتبط با Audit را بررسي و باز خواني كنيد .
۱۵:۰۳ 
