ItemBox

カーネルオブジェクトの監査

カーネルオブジェクトの監査

カーネルオブジェクトの監査は、ユーザーがシステムカーネル（ミューテックスやセマフォを含む）にアクセスしようとしたときに、オペレーティングシステムが監査イベントを生成するかどうかを決定します。

一致するシステムアクセス制御リスト (SACL) を持つカーネルオブジェクトのみがセキュリティ監査イベントを生成します。生成される監査は通常、開発者にとってのみ有用です。

通常、カーネルオブジェクトには、AuditBaseObjects または AuditBaseDirectories 監査オプションが有効になっている場合にのみ SACL が付与されます。

「監査: グローバルシステムオブジェクトのアクセスを監査する」ポリシー設定は、カーネルオブジェクトのデフォルトの SACL を制御します。

イベントボリューム: 高。

コンピュータの種類一般的な成功一般的な失敗強化された成功強化された失敗コメント
ドメインコントローラーいいえいいえいいえいいえ通常、カーネルオブジェクトの監査イベントはセキュリティ関連性がほとんどなく、解析や分析が難しいです。また、これらのイベントのボリュームは通常非常に高いです。 カーネルオブジェクトレベルで監視する必要がある場合を除き、このサブカテゴリを有効にすることは推奨されません。
メンバーサーバーいいえいいえいいえいいえ通常、カーネルオブジェクトの監査イベントはセキュリティ関連性がほとんどなく、解析や分析が難しいです。また、これらのイベントのボリュームは通常非常に高いです。 カーネルオブジェクトレベルで監視する必要がある場合を除き、このサブカテゴリを有効にすることは推奨されません。
ワークステーションいいえいいえいいえいいえ通常、カーネルオブジェクトの監査イベントはセキュリティ関連性がほとんどなく、解析や分析が難しいです。また、これらのイベントのボリュームは通常非常に高いです。 カーネルオブジェクトレベルで監視する必要がある場合を除き、このサブカテゴリを有効にすることは推奨されません。

イベントリスト:

  • 4656(S, F): オブジェクトへのハンドルが要求されました。

  • 4658(S): オブジェクトへのハンドルが閉じられました。

  • 4660(S): オブジェクトが削除されました。

  • 4663(S): オブジェクトへのアクセスが試みられました。