Рассмотрим подробнее аудит доступа к объектам. Необходимость регистрации событий доступа к объектам возникает, когда есть подозрения, что кто-то из пользователей пытается получить несанкционированный доступ к информации, к которой он не должен иметь доступа.

По умолчанию на обычном сервере или рабочей станции политики аудита доступа к объектам отключены. Включим данные политики (на уровне сайта, домена или нужного нам ОП) — откроем данный параметр в редакторе политик и установим регистрацию как успешных, так и неуспешных попыток доступа к объектам (рис.1)

После применения политик настроим аудит доступа для нужных объектов (например, для папки Folder1 на сервере DC1) — откроем Свойства данной папки (папка должна быть размещена на разделе с файловой системой NTFS), перейдем на закладку "Безопасность", нажмем кнопку "Дополнительно" и перейдем на закладку "Аудит". Добавим в список пользователей, для которых будут отслеживаться попытки доступа к папке Folder1, группу "Пользователи домена" и установим, какие именно попытки будут регистрироваться в журнале "Безопасность" (например, попытки удаления папок и файлов, успешные и неуспешные) (рис. 2)

(слайд №7)
Теперь для проверки работы механизма аудита удалим какой-нибудь файл в этой папке, а затем просмотрим соответствующие события, появившиеся в журнале "Безопасность". Пример события, зарегистрировавшего в журнале безопасности удаление файла "Документ.doc", показан на рисунках.

На первом рисунке видно, что пользователь Администратор получил успешный доступ к файлу "H:\Folder1\Документ.doc" на компьютере DC1, а на втором показан вид доступа — DELETE (Удаление).

Не рекомендуется злоупотреблять применением политик аудита доступа к объектам и регистрацией доступа к большому числу объектов, т.к. системой генерируется очень большое число записей, отыскать среди которых нужные будет весьма непросто. К тому же надо будет постоянно заботиться о сохранении старых записей и очистке журнала. Наиболее рациональный способ применения аудита доступа к объектам — настройка данного аудита в те моменты, когда есть обоснованные опасения о наличии в сети попыток несанкционированного доступа.