В ActiveDirectory, как события аудита безопасности передаются в журнал событий контроллера домена? Как механизм масштабируется?

Question

В многодоменном режиме я хочу собирать события аудита доступа к файлам безопасности в центральном месте.

В ActiveDirectory можно включить аудит доступа к файлам в контроллере домена, создав объект групповой политики. Кроме того, на другом компьютере с файловым сервером, который является членом одного из доменов, SACL должен быть настроен на объекты файловой системы, которые я хочу пройти аудит (и которые включены в общий сетевой ресурс).

После этого события доступа к файлу записываются и как-то магически передаются в журнал событий контроллера домена.

Я действительно хотел бы знать:

• Как и когда эти события переданы? Является ли передача зашифрованной?
• Можно ли напрямую выбрать другой (дополнительный) приемник этих событий, кроме контроллера домена? Я знаю, что позже можно переслать эти события журналов, но по умолчанию они пересылаются контроллеру домена? Существует ли неявная переадресация?
• Сколько трафика будет создано в отношении сетевой нагрузки?

Answer 1

Первое, что требуется контроллеру домена - это сервер, имеющий Active Directory (своего рода база данных организации). Активный каталог идентифицировал каждый компонент/ресурсы, подключенные к домену, будь то логический (пользовательский) и физический (компьютер и принтер) в качестве объекта. Этот объект имеет свойства, известные как схема. Эта схема была каталогом в репозиториях, известных как GC (глобальный каталог), но gc имеет только частичную информацию, чтобы ресурсы могли быть расположены. Теперь, придя к этой политике. Существует два объекта GPO и OU. GPO - это набор политик, которые вы можете применять в подразделении или более высоком блоке группировки. Посмотрим, как происходит общение. Опять же, существует два широко используемых термина 1. репликация и 2. LDAP Query.

Репликация выполняется между контроллером, что позволяет сократить сетевой трафик и повысить доступность ресурсов, подключенных к серверу. При репликации вся информация о ресурсах синхронизируется с сервером. Чтобы обеспечить целостность системы безопасности, есть сертификат (который дает идентификацию, а также механизм шифрования) и делегирование (предоставление прав).

LDAP - это протокол, через который пользователь прошел аутентификацию. Таким образом, LDAP имеет запрос, который похож на другой язык запросов. Ну, весь этот запрос был в конечном счете зарегистрирован на сервере.

Объект GPO был реплицирован на ресурсы или вы можете применить принудительно. Если вы хотите сделать это немедленно.