Journal de sécurité (dans Event Viewer) énorme, Comment ça ?

Salut,

J'ai remarqué dernièrement que le journal de sécurité dans l'observateur
d'événements est vraiment énorme et contient beaucoup d'événements... que je
trouve sans intérêt... du fait qu'il y en a tellement que c'est pratiquement
illisible.

NOTE: J'ai installé W2003SRV moi-même et je n'ai modifié absolument rien au
niveau des paramètres des audits et de l'observateurs (ce sont les
paramètres par défaut que Microsoft utilisent).

J'ai tout de suite remarqué que la taille alloué au journal de sécurité est
beaucoup plus grande que les autres journaux. Elle est de 131072 Ko (128
Mo)... c'est déjà beau de place disque pour des événements d'environ 1 Ko
chacun !!!

Ensuit je regarde la liste des événements qui se sont produits, par grande
surprise après avoir trié par date, je me rends compte que les 128 Mo ne
loge que les événements qui se sont produits durant les 15 derniers jours
uniquement... En tout 356 498 événements se sont ajoutés. Wow !

Qu'est-ce quie a pu se produire aussi souvent pour enregistrer autant
d'événements. Je regarde et tout semble être des événements d'audit de
succès. Que se passe-t-il, un hacker qui s'est essayé à répétition ?
J'efface le journal pour faire un test. J'attends 30 minutes et j'actualise
la liste, croyez-le ou non, il y a 12 775 éléments inscrits !!!

Je consulte un par un les événements (J'ai ai vérifié plus de 200) et je me
rends compte qu'il n'y a rien d'anormal dans les événements. Ce sont tous
des événements d'ouverture de session réseau ou fermeture de session.

Là faut que je vous disent que je n'ai PAS 25,000 usagers sur mon domaine...
mais seulement 25 !

Je comprends vraiment pas pourquoi il y a autant d'événements enregistrés et
sans erreur ou "anormal (du genre tentative de connexion)". Je ne trouve pas
du tout utile d'avoir autant d'information d'événements pour si peux
d'activité réseau, car c'est comme chercher une aiguille dans une botte de
foin par la suite.

---------------------------

1- Avez-vous une idée si c'est normal que Windows 2003 Server enregistre
autant d'événements de sécurité ?

2- Si oui, avez-vous des conseils sur quel éléments à enlever des audits
afin de rendre le journal de sécurité plus léger et compréhensible ?

3- Sinon, avez un outil permettant de récupérer les données des jounaux afin
de les filtrer sur certains événements pour les passer dans une BD SQL afin
de me faire une interface en HTML avec uniquement ce que je veux et dans une
version plus visuelle que l'Observateur d'événements ?

---------------------------


Merci de vos conseils.

Juste par curiosité, c'est un 2003 ou un 2003 R2 ??

--
François Dunoyer [MVP Windows Server / Security]
Quelques trucs et des astuces pour Windows : http://fds.mvps.org/ta/
Site perso : http://www.fdunoyer.net

Salut,

C'est un 2003 (et non un 2003 R2) avec Service Pack 1 et toutes les mises à
jours WU installées. Il est configuré comme DC/AD/DNS et DHCP en plus du
partage de fichiers et d'imprimantes. Mais rien de plus, pas de VPN,
Terminal ou d'applications serveur.

Merci

Glenn Gagné
Technicien MCP/TI


"F. Dunoyer [MVP]" <wdunoyer-nimportequoi@laposte~.net> a écrit dans le
message de news:mn.2abf7d6c34ff22bf.14554@laposte.net...

Salut,

J'ai remarqué dernièrement que le journal de sécurité dans l'observateur
d'événements est vraiment énorme et contient beaucoup d'événements...
que je

trouve sans intérêt... du fait qu'il y en a tellement que c'est
pratiquement

illisible.

NOTE: J'ai installé W2003SRV moi-même et je n'ai modifié absolument rien
au

niveau des paramètres des audits et de l'observateurs (ce sont les
paramètres par défaut que Microsoft utilisent).

J'ai tout de suite remarqué que la taille alloué au journal de sécurité
est

beaucoup plus grande que les autres journaux. Elle est de 131072 Ko (128
Mo)... c'est déjà beau de place disque pour des événements d'environ 1
Ko

chacun !!!

Ensuit je regarde la liste des événements qui se sont produits, par
grande

surprise après avoir trié par date, je me rends compte que les 128 Mo ne
loge que les événements qui se sont produits durant les 15 derniers
jours

uniquement... En tout 356 498 événements se sont ajoutés. Wow !

Qu'est-ce quie a pu se produire aussi souvent pour enregistrer autant
d'événements. Je regarde et tout semble être des événements d'audit de
succès. Que se passe-t-il, un hacker qui s'est essayé à répétition ?
J'efface le journal pour faire un test. J'attends 30 minutes et
j'actualise

la liste, croyez-le ou non, il y a 12 775 éléments inscrits !!!

Je consulte un par un les événements (J'ai ai vérifié plus de 200) et je
me

rends compte qu'il n'y a rien d'anormal dans les événements. Ce sont
tous

des événements d'ouverture de session réseau ou fermeture de session.

Là faut que je vous disent que je n'ai PAS 25,000 usagers sur mon
domaine...

mais seulement 25 !

Je comprends vraiment pas pourquoi il y a autant d'événements
enregistrés et

sans erreur ou "anormal (du genre tentative de connexion)". Je ne trouve
pas

du tout utile d'avoir autant d'information d'événements pour si peux
d'activité réseau, car c'est comme chercher une aiguille dans une botte
de

foin par la suite.

---------------------------

1- Avez-vous une idée si c'est normal que Windows 2003 Server enregistre
autant d'événements de sécurité ?

2- Si oui, avez-vous des conseils sur quel éléments à enlever des audits
afin de rendre le journal de sécurité plus léger et compréhensible ?

3- Sinon, avez un outil permettant de récupérer les données des jounaux
afin

de les filtrer sur certains événements pour les passer dans une BD SQL
afin

de me faire une interface en HTML avec uniquement ce que je veux et dans
une

version plus visuelle que l'Observateur d'événements ?

---------------------------


Merci de vos conseils.

Juste par curiosité, c'est un 2003 ou un 2003 R2 ??

--
François Dunoyer [MVP Windows Server / Security]
Quelques trucs et des astuces pour Windows : http://fds.mvps.org/ta/
Site perso : http://www.fdunoyer.net

Salut,

C'est un 2003 (et non un 2003 R2) avec Service Pack 1 et toutes les mises à
jours WU installées. Il est configuré comme DC/AD/DNS et DHCP en plus du
partage de fichiers et d'imprimantes. Mais rien de plus, pas de VPN,
Terminal ou d'applications serveur.

Merci

Glenn Gagné
Technicien MCP/TI

Je demande ça car j'ai eu la même "surprise" en déployant de nouveaux

serveurs en 2003R2. Je me suis alors demandé (sans avoir bcp de temps
pour investiguer plus) si avec le R2 il n'y avait une stratégie de log
beaucoup plus exhaustive (et de fait beaucoup plus consomatrice de
ressources).

Chez moi 128Mo c'est environ 1 semaine de fonctionnement (donc purge
régulière et archivage).

--
François Dunoyer [MVP Windows Server / Security]
Quelques livres informatiques commentés :
http://fds.mvps.org/ta/biblio.htm
Site perso : http://www.fdunoyer.net

Ok, donc je peux comprendre que la quantité d'événements enregistrés est
"normale".

Bon personnellement je trouve la liste un peu trop longue à mon goût,
j'aimerais la réduire en éliminant quelques audits qui enregistrent leurs
événements à cet endroit.

Voici les éléments que je désirais conserver dans le log:

- Tous les événements d'échecs (accès et ouverture de session)
- Tous les événements de succès d'ouverture de session Windows

C'est tout ! Si quelqu'un peut simplement me diriger au bon endroit pour
modifier les audits du genre. J'avoue que je suis un peu perdu à ce
niveau... c'est plus comme avec NT4.

Merci


"F. Dunoyer [MVP]" <wdunoyer-nimportequoi@laposte~.net> a écrit dans le
message de news:mn.2bca7d6cdf90e7d9.14554@laposte.net...

Salut,

C'est un 2003 (et non un 2003 R2) avec Service Pack 1 et toutes les
mises à

jours WU installées. Il est configuré comme DC/AD/DNS et DHCP en plus du
partage de fichiers et d'imprimantes. Mais rien de plus, pas de VPN,
Terminal ou d'applications serveur.

Merci

Glenn Gagné
Technicien MCP/TI

Je demande ça car j'ai eu la même "surprise" en déployant de nouveaux

serveurs en 2003R2. Je me suis alors demandé (sans avoir bcp de temps
pour investiguer plus) si avec le R2 il n'y avait une stratégie de log
beaucoup plus exhaustive (et de fait beaucoup plus consomatrice de
ressources).

Chez moi 128Mo c'est environ 1 semaine de fonctionnement (donc purge
régulière et archivage).

--
François Dunoyer [MVP Windows Server / Security]
Quelques livres informatiques commentés :
http://fds.mvps.org/ta/biblio.htm
Site perso : http://www.fdunoyer.net

Glenn Gagné a exposé le 07/12/2006 :

Ok, donc je peux comprendre que la quantité d'événements enregistrés est
"normale".

Bon personnellement je trouve la liste un peu trop longue à mon goût,
j'aimerais la réduire en éliminant quelques audits qui enregistrent leurs
événements à cet endroit.

Voici les éléments que je désirais conserver dans le log:

- Tous les événements d'échecs (accès et ouverture de session)
- Tous les événements de succès d'ouverture de session Windows

C'est tout ! Si quelqu'un peut simplement me diriger au bon endroit pour
modifier les audits du genre. J'avoue que je suis un peu perdu à ce
niveau... c'est plus comme avec NT4.

Merci


"F. Dunoyer [MVP]" <wdunoyer-nimportequoi@laposte~.net> a écrit dans le
message de news:mn.2bca7d6cdf90e7d9.14554@laposte.net...

Salut,

C'est un 2003 (et non un 2003 R2) avec Service Pack 1 et toutes les mises à
jours WU installées. Il est configuré comme DC/AD/DNS et DHCP en plus du
partage de fichiers et d'imprimantes. Mais rien de plus, pas de VPN,
Terminal ou d'applications serveur.

Merci

Glenn Gagné
Technicien MCP/TI

Je demande ça car j'ai eu la même "surprise" en déployant de nouveaux

serveurs en 2003R2. Je me suis alors demandé (sans avoir bcp de temps
pour investiguer plus) si avec le R2 il n'y avait une stratégie de log
beaucoup plus exhaustive (et de fait beaucoup plus consomatrice de
ressources).

Chez moi 128Mo c'est environ 1 semaine de fonctionnement (donc purge
régulière et archivage).

--
François Dunoyer [MVP Windows Server / Security]
Quelques livres informatiques commentés :
http://fds.mvps.org/ta/biblio.htm
Site perso : http://www.fdunoyer.net

Ton serveur est en domaine ? si oui c'est dans un gpo
sinon strategie locale de securité

pour la gpo
tu en as dans
configuration ordinateurjournal des evenements : ca c'est pour la
taille

configuration ordinateurstrategies localesstrategie d'audit
ca c'est pour ce que tu choisi de tracer ou pas

--
François Dunoyer [MVP Windows Server / Security]
Quelques livres informatiques commentés :
http://fds.mvps.org/ta/biblio.htm
Site perso : http://www.fdunoyer.net

MERCI !!!

J'ai vérifié ça et je trouve un peu confu les sélections, voici les
statégies par défaut:

Auditer les gestion des comptes: Réussite, Échec
Auditer l'accès au service de l'annuaire: Réussite
Auditer l'accès aux objets: Pas d'audit
Auditer le suivi des processus: Pas d'audit
Auditer les événements de connexion: Résussite
Auditer les événements de connexion aux comptes: Réussite
Auditer les événements système: Réussite
Auditer les modifications de stratégie Réussite
Auditer l'utilisation des privilèges Pas d'audit

-----------------------------------------------------------------------

Je ne comprends pas la différence entre "Auditer les gestion des comptes" et
"Auditer les événements de connexion aux comptes" et "Auditer les événements
de connexion".

J'ai laissé "Auditer les événements de connexion aux comptes" seulement
activé en désactivant les 2 autres. Mais ce type d'audit ne contient pas
vraiment ce qu'il dit ("son nom reflète pas vraiment sa tâche").

Les seuls événements que j'ai ressemble à ça:

-----------------------------------------------------
Accord de la demande de ticket:
Utilisateur: DANIEL$@DOMAIN.LOCAL
Domaine de l'utilisateur: DOMAIN.LOCAL
Nom du service: DANIEL$
Identificateur du service DOMAINDANIEL$
Options du ticket: 0x40810010
Type de cryptage du ticket: 0x17
Adresse du client: 192.168.0.10
Code d'échec: -
GUID d'ouv de session: {xxxxxx-xxx-xxxxx-xxxx-xxxxxxx-xxxx}
Services en transit: -
------------------------------------------------

Bon j'ai réduit énormément les audits, j'ai environ 30 événements en 30
minutes (sur un réseau de 25 utilisateurs) mais cette stratégie ne donne
pas grand chose d'utile.... Donc "Auditer les événements de connexion aux
comptes" n'est pas bon pour moi. À moins que quelqu'un m'explique comment
utiliser le retour d'information de cet audit ???

Qu'est-ce qu'un "Accord de la demande de ticket" ?

- La permission d'accéder à un dossier vs la sécurité NTFS/SHARE du dossier
demandé
- La vérifcation du mot de passe avec l'AD pour vérifier l'authentification
lorsque l'utilisateur entre son mot de passe à l'écran de veille, ...
- La permission d'exécuter une tâche réseau
- etc...

-------------------------------------------------

Hey hey !!! Je laisse mon texte ci-haut écrit pour les gens intéressés, mais
j'ai finalement trouvé l'information que je voulais pour bien gérer les
audits de sécurité:

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/fr/library/ServerHelp/5658fae8-985f-48cc-b1bf-bd47dc210916.mspx?mfr=true

J'espère trouver ce que je veux vraiment !



NOTE: Mon plus gros problème c'est que j'ai remarqué que la stratégie
d'audit qui créé les événements de succès/échecs d'ouverture de session
Windows semble également être la même qui génère les succès/échecs pour les
ouvertures/fermetures de session "background" (system) qui eux créé
énormément d'activité et est inutile dans mon cas. J'aimerais pouvoir
dissocier les deux. Va probablement falloir trouver une clé dans le registre
pour stopper ceci... :o(

Glenn Gagné a couché sur son écran :

Bon j'ai réduit énormément les audits, j'ai environ 30 événements en 30
minutes (sur un réseau de 25 utilisateurs) mais cette stratégie ne donne
pas grand chose d'utile.... Donc "Auditer les événements de connexion aux
comptes" n'est pas bon pour moi. À moins que quelqu'un m'explique comment
utiliser le retour d'information de cet audit ???
-------------------------------------------------

LOL comme je suis dans ton cas (et que j'ai jamais le temps, de
chercher de référencer et de documenter et de mettre en place les
outils de reporting), le seul conseil que j'aurais envie de donner
(même si je ne le suis pas) c'est si vous êtes incapable de comprendre
ces logs desactivez les ! Le conseil vaut ce qu'il vaut !! mais il me
semble que c'est plus pertinent d'avoir peu d'évenements que l'on
comprends qu'une masse qui masquent ceux qu'on pourrait comprendre

Hey hey !!! Je laisse mon texte ci-haut écrit pour les gens intéressés, mais
j'ai finalement trouvé l'information que je voulais pour bien gérer les
audits de sécurité:

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/fr/library/ServerHelp/5658fae8-985f-48cc-b1bf-bd47dc210916.mspx?mfr=true

cool je vais aussi regarder

J'adore quand ceux qui postent, mettent aussi les resultats de leurs
recherches !!! Ca c'est good !

--
François Dunoyer [MVP Windows Server / Security]
Des infos en Vrac : http://fds.mvps.org/ta/envrac.htm
Site perso : http://www.fdunoyer.net

Bonjour, simplement pour faire un excellent suivi sur ma propre question :o)
car F. Dunoyer semble aimer cela (je rigole). Je vais vous aider dans
l'utilisation des audits de sécurité.

Je vais énumérer par catégorie d'audit ce que j'ai découvert et si vous
connaissez d'autres informations S.V.P. les ajouter. Je vais y aller d'une
forme abbrégée (Catégorie, succès/échec, Event ID et description)

----------------------------------

Catégorie: Audtier les événements de connexion aux comptes (Réussite).

Event ID 672 : ---- (Pas trouvé la raison) ---

Event ID 673 : Généré lorsque quelqu'un fait une demande de vérification
d'authentification, comme l'entrée du mot de passe sur l'écran de veille, et
que cet événement est un succès.

Event ID 674 : Renouvellement du ticket... (Pas certain, mais semble être
une auto-exécution entre le serveur et la session ouverte après un certain
délai pour vérifier si la validité du compte est toujours bonne.

Event ID 680 : Se produit lorsqu'une station non-membre du domaine
s'authentifie pour accéder à un partage sur le réseau via une commande NET
ou un client Samba.

----------------------------------

Catégorie: Audtier les événements de connexion aux comptes (Échec).

Event ID 673 : --- (Pas trouvé la raison) --- mais j'ai 2 types d'échecs
(0x12) et (0x20).

Event ID 675 : Généré lorsque quelqu'un fait une demande de vérification
d'authentification, comme l'entrée du mot de passe sur l'écran de veille ou
à l'ouverture de session et que cet événement est un échec.

Event ID 680: Semble se produire lorsqu'une application utilisant une
autorisation par le compte utilisateur accède à un autre ordinateur du
réseau et qui refuse la connexion.

----------------------------------

Catégorie: Audtier les événements de stratégies (Succès).

Event ID 612 : Une modification des stratégies à eu lieu.

----------------------------------

Catégorie: Audtier les événements système (Succès).

Event ID 517 : L'effacement du journal de sécurité a été demandé et exécuté.

----------------------------------


En continuant mon investigation, je vais ajouter d'autres événements... et
je vais les lister sur mon site web prochainement. Si vous voulez en ajouter
je les prendrai en considération.

Glenn Gagné
MCP/TI

Mon site: http://stock.zapto.org

*** c'est bien beau d'avoir des événements dans le journal, mais à quoi
servent-ils si on ne sait pas ce qu'ils veulent dire ! Voilà une liste
d'éléments répertoriés avec une brève description ***

----------------------------------

Catégorie: Auditer le suivi des processus (Réussite)

Event ID 592 : Un nouveau processus a été créé (une application ou un
service est démarré correctement).

Event ID 593 : Un processus est terminé (une application ou un service s'est
arrêté correctement).

Event ID 600 : Un jeton principal a été attribué à un processus --- ( Pas
certain, mais semble représenter le lancement d'une application/service qui
s'est ajouté à un service dépendant) ---

Catégorie : Auditer le suivi des processus (Échec)

--- Rien de répertorié pour le moment ---

----------------------------------

Catégorie: Auditer les événements de connexion aux comptes (Réussite).

Event ID 672 : ---- (Pas trouvé la raison) ---

Event ID 673 : Généré lorsque quelqu'un fait une demande de vérification
d'authentification, comme l'entrée du mot de passe sur l'écran de veille, et
que cet événement est un succès.

Event ID 674 : Renouvellement du ticket... (Pas certain, mais semble être
une auto-exécution entre le serveur et la session ouverte après un certain
délai pour vérifier si la validité du compte est toujours bonne.

Event ID 680 : Se produit lorsqu'une station non-membre (provenant d'un
Workgroup ou client Non-Windows) du domaine s'authentifie pour
accéder à un partage sur le réseau.

----------------------------------

Catégorie: Auditer les événements de connexion aux comptes (Échec).

Event ID 673 : --- (Pas trouvé la raison) --- mais j'ai 2 types d'échecs
(0x12) et (0x20).

Event ID 675 : Généré lorsque quelqu'un fait une demande de vérification
d'authentification, comme l'entrée du mot de passe sur l'écran de veille ou
à l'ouverture de session et que cet événement est un échec.

Event ID 680: Semble se produire lorsqu'une application utilisant une
autorisation par le compte utilisateur accède à un autre ordinateur du
réseau et qui refuse la connexion.

----------------------------------

Catégorie: Auditer les événements de stratégies (Succès).

Event ID 612 : Une modification des stratégies à eu lieu.

----------------------------------

Catégorie: Auditer les événements système (Succès).

Event ID 517 : L'effacement du journal de sécurité a été demandé et exécuté.

----------------------------------