Агент KUMA (WMI)

Чтобы настроить политики аудита на устройстве:

1. Откройте окно Выполнить, нажав комбинацию клавиш Win+R.
2. В открывшемся окне введите запрос secpol.msc и нажмите OK.

   Откроется окно Локальная политика безопасности.

3. Перейдите в раздел Параметры безопасности → Локальные политики → Политика аудита.
4. В панели справа двойным щелчком мыши откройте свойства политики, для которой вы хотите включить аудит успешных и неуспешных попыток.
5. В окне Свойства <Имя политики> на вкладке Параметр локальной безопасности установите флажки Успех и Отказ, чтобы отслеживать успешные и прерванные попытки.

   Рекомендуется включить аудит успешных и неуспешных попыток для следующих политик:

   • Аудит входа в систему
   • Аудит изменения политики
   • Аудит системных событий
   • Аудит событий входа в систему
   • Аудит управления учетными записями

Настройка политики аудита на устройстве завершена.

Чтобы настроить аудит с помощью групповой политики:

1. Откройте окно Выполнить, нажав комбинацию клавиш Win+R.
2. В открывшемся окне введите запрос gpedit.msc и нажмите OK.

   Откроется окно Редактор локальной групповой политики.

3. Перейдите в раздел Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Локальные политики → Политика аудита.
4. В панели справа двойным щелчком мыши откройте свойства политики, для которой вы хотите включить аудит успешных и неуспешных попыток.
5. В окне Свойства <Имя политики> на вкладке Параметр локальной безопасности установите флажки Успех и Отказ, чтобы отслеживать успешные и прерванные попытки.

   Рекомендуется включить аудит успешных и неуспешных попыток для следующих политик:

   • Аудит входа в систему
   • Аудит изменения политики
   • Аудит системных событий
   • Аудит событий входа в систему
   • Аудит управления учетными записями

Если вы хотите получать журналы Windows c большого количества серверов или если установка агентов KUMA на контроллеры домена не допускается, рекомендуется настроить перенаправление журналов Windows на отдельные серверы с настроенной службой Windows Event Collector.

Настройка политики аудита на сервере или рабочей станции завершена.

Чтобы предоставить права для просмотра событий на конкретном устройстве:

1. Откройте окно Выполнить, нажав комбинацию клавиш Win+R.
2. В открывшемся окне введите запрос compmgmt.msc и нажмите OK.

   Откроется окно Управление компьютером.

3. Перейдите в раздел Управление компьютером (локальным) → Локальные пользователи и группы → Группы.
4. В панели справа выберите группу Читатели журнала событий и двойным щелчком мыши откройте свойства политики.
5. Внизу окна Свойства: Читатели журнала событий нажмите на кнопку Добавить.

   Откроется окно Выбор пользователя, компьютера или группы.

6. В поле Введите имена выбираемых объектов (примеры) перечислите имена пользователей или устройств, которым вы хотите предоставить права для просмотра данных о событиях.
7. Нажмите ОК.

Чтобы предоставить права для просмотра событий всех устройств в домене:

1. Зайдите в контроллер домена с правами администратора.
2. Откройте окно Выполнить, нажав комбинацию клавиш Win+R.
3. В открывшемся окне введите запрос dsa.msc и нажмите OK.

   Откроется окно Active Directory Пользователи и Компьютеры.

4. Перейдите в раздел Active Directory Пользователи и Компьютеры → <Имя домена> → Builtin.
5. В панели справа выберите группу Читатели журнала событий и двойным щелчком мыши откройте свойства политики.

   В окне Свойства: Читатели журнала событий откройте вкладку Члены и нажмите на кнопку Добавить.

   Откроется окно Выбор пользователя, компьютера или группы.

6. В поле Введите имена выбираемых объектов (примеры) перечислите имена пользователей или устройств, которым вы хотите предоставить права для просмотра данных о событиях.
7. Нажмите ОК.

Перед предоставлением права убедитесь, что учетные записи или устройства, которым вы собираетесь предоставить право Вход в качестве службы, отсутствуют в свойствах политики Отказ во входе в качестве службы.

Чтобы предоставить право на вход в качестве службы устройству:

1. Откройте окно Выполнить, нажав комбинацию клавиш Win+R.
2. В открывшемся окне введите запрос secpol.msc и нажмите OK.

   Откроется окно Локальная политика безопасности.

3. Перейдите в раздел Параметры безопасности → Локальные политики → Назначение прав пользователя.
4. В панели справа двойным щелчком мыши откройте свойства политики Вход в качестве службы.
5. В открывшемся окне Свойства: Вход в качестве службы нажмите на кнопку Добавить Пользователя или Группу.

   Откроется окно Выбор пользователей или групп.

6. В поле Введите имена выбираемых объектов (примеры) перечислите имена учетных записей или устройств, которым вы хотите предоставить право входа в систему в качестве службы.
7. Нажмите ОК.

Перед предоставлением права убедитесь, что учетные записи или устройства, которым вы собираетесь предоставить право Вход в качестве службы, отсутствуют в свойствах политики Отказ во входе в качестве службы.

Чтобы предоставить право на вход в качестве службы устройствам в домене:

1. Откройте окно Выполнить, нажав комбинацию клавиш Win+R.
2. В открывшемся окне введите запрос gpedit.msc и нажмите OK.

   Откроется окно Редактор локальной групповой политики.

3. Перейдите в раздел Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Локальные политики → Назначение прав пользователя.
4. В панели справа двойным щелчком мыши откройте свойства политики Вход в качестве службы.
5. В открывшемся окне Свойства: Вход в качестве службы нажмите на кнопку Добавить Пользователя или Группу.

   Откроется окно Выбор пользователей или групп.

6. В поле Введите имена выбираемых объектов (примеры) перечислите имена пользователей или устройств, которым вы хотите предоставить право входа в систему в качестве службы.
7. Нажмите ОК.