Chuyển tới nội dung chính

Quy Trình Audit Hệ Thống Windows Server Định Kỳ

Giới Thiệu​

Audit hệ thống Windows Server định kỳ là một hoạt động thiết yếu để duy trì tính bảo mật, tuân thủ các quy định và đảm bảo hiệu suất hoạt động ổn định của máy chủ. Quá trình này giúp phát hiện sớm các lỗ hổng bảo mật, hoạt động bất thường, truy cập trái phép hoặc các cấu hình sai sót có thể dẫn đến rủi ro nghiêm trọng. Bằng cách thường xuyên kiểm tra và phân tích các nhật ký sự kiện, quyền truy cập và cấu hình hệ thống, bạn có thể chủ động bảo vệ môi trường IT của mình.

📋 Thời gian: 60-90 phút | Độ khó: Trung bình

Yêu Cầu​

Để thực hiện quy trình audit này, bạn cần:

  • Quyền truy cập Administrator trên Windows Server.
  • Hiểu biết cơ bản về cấu trúc Windows Server, Event Viewer và PowerShell.
  • Công cụ: Event Viewer, PowerShell, Local Security Policy Editor (secpol.msc) hoặc Group Policy Management Editor (gpmc.msc) nếu là môi trường Domain.

Các Bước Thực Hiện​

Bước 1: Cấu hình Chính sách Audit (Audit Policy Configuration)​

Trước khi audit, hãy đảm bảo rằng các chính sách audit cần thiết đã được bật để thu thập đủ dữ liệu. Bạn có thể cấu hình chúng thông qua Local Security Policy (cho máy chủ độc lập) hoặc Group Policy Object (GPO) trong môi trường Domain.

  1. Mở secpol.msc (Local Security Policy) hoặc gpmc.msc (Group Policy Management).
  2. Điều hướng đến Security Settings -> Local Policies -> Audit Policy.
  3. Kích hoạt các chính sách audit quan trọng sau đây, chọn cả Success và Failure:
    • Audit account logon events (Kiểm toán sự kiện đăng nhập tài khoản)
    • Audit logon events (Kiểm toán sự kiện đăng nhập)
    • Audit object access (Kiểm toán truy cập đối tượng)
    • Audit privilege use (Kiểm toán sử dụng đặc quyền)
    • Audit system events (Kiểm toán sự kiện hệ thống)
    • Audit policy change (Kiểm toán thay đổi chính sách)
    • Audit process tracking (Kiểm toán theo dõi tiến trình) - Tùy chọn, có thể tạo nhiều log.
  4. Đối với các phiên bản Windows Server mới hơn, hãy xem xét sử dụng Advanced Audit Policy Configuration để kiểm soát chi tiết hơn.
# Kiểm tra trạng thái hiện tại của một chính sách audit cụ thể (ví dụ: Audit Policy Change)
auditpol /get /subcategory:"Policy Change"

# Kích hoạt chính sách Audit Object Access cho cả thành công và thất bại
# Cần quyền Administrator để chạy
auditpol /set /subcategory:"Object Access" /success:enable /failure:enable

# Kích hoạt chính sách Audit Account Logon Events cho cả thành công và thất bại
auditpol /set /subcategory:"Account Logon" /success:enable /failure:enable

💡 Mẹo: Trong môi trường Domain, hãy cấu hình qua GPO để áp dụng nhất quán cho tất cả các máy chủ.

Bước 2: Thu thập và Phân tích Nhật ký Sự kiện (Event Log Collection & Analysis)​

Nhật ký sự kiện là nguồn thông tin chính để phát hiện các hoạt động bất thường. Tập trung vào các nhật ký sau:

  1. Security Log (Nhật ký Bảo mật):
    • Event ID 4624: Đăng nhập thành công.
    • Event ID 4625: Đăng nhập thất bại.
    • Event ID 4648: Đăng nhập bằng thông tin xác thực khác.
    • Event ID 4663: Truy cập đối tượng (file, thư mục, registry) cụ thể.
    • Event ID 4720: Tài khoản người dùng được tạo.
    • Event ID 4726: Tài khoản người dùng bị xóa.
    • Event ID 4732/4733/4756/4757: Thành viên của nhóm bảo mật được thêm/xóa.
    • Event ID 4776: Xác thực NTLM.
    • Event ID 5136: Đối tượng thư mục dịch vụ đã được sửa đổi (AD).
  2. System Log (Nhật ký Hệ thống):
    • Event ID 7036: Dịch vụ khởi động/dừng.
    • Event ID 1074: Tắt/khởi động lại máy chủ.
    • Event ID 6005/6006: Khởi động/tắt máy tính.
  3. Application Log (Nhật ký Ứng dụng):
    • Tìm kiếm các lỗi hoặc cảnh báo từ cóc ứng dụng quan trọng.
  4. Directory Service Log (Nhật ký Dịch vụ Thư mục) - Nếu là Domain Controller:
    • Event ID 1644: Tìm kiếm LDAP đắt tiền/không hiệu quả.
    • Event ID 2886/2887/2889: Yêu cầu LDAP không ký/mã hóa.
# Lọc các sự kiện đăng nhập thất bại trong Security Log
# Sử dụng PowerShell để dễ dàng lọc và phân tích
Get-WinEvent -LogName Security -FilterXPath '*/System/EventID=4625' | Format-Table -AutoSize

# Lọc các sự kiện tạo tài khoản người dùng
Get-WinEvent -LogName Security -FilterXPath '*/System/EventID=4720' | Format-Table -AutoSize

# Lọc các sự kiện từ một nguồn cụ thể (ví dụ: Service Control Manager)
Get-WinEvent -LogName System -ProviderName "Service Control Manager" | Where-Object {$_.Id -eq 7036} | Select-Object TimeCreated, Message -First 10

⚠️ Cảnh báo: Nhật ký sự kiện có thể rất lớn. Sử dụng bộ lọc trong Event Viewer hoặc PowerShell để tập trung vào các sự kiện quan trọng. Cân nhắc sử dụng hệ thống quản lý nhật ký tập trung (SIEM) cho môi trường lớn.

Bước 3: Kiểm tra Quyền Truy cập Hệ thống (System Access Permissions Check)​

Kiểm tra quyền truy cập trên các file, thư mục và registry quan trọng để đảm bảo không có quyền truy cập quá mức hoặc không mong muốn.

  1. Kiểm tra quyền trên thư mục quan trọng:
    • C:\Windows
    • C:\Program Files và C:\Program Files (x86)
    • Các thư mục chia sẻ (Shares)
    • Thư mục dữ liệu ứng dụng.
  2. Kiểm tra quyền Registry:
    • Các khóa registry liên quan đến khởi động (Run, RunOnce).
    • Các khóa liên quan đến cấu hình hệ thống và bảo mật.
# Liệt kê quyền trên một thư mục quan trọng (ví dụ: C:\Windows\System32)
# Sử dụng icacls để hiển thị quyền NTFS
icacls C:\Windows\System32

# Liệt kê quyền trên một thư mục chia sẻ
# Thay thế "YourSharePath" bằng đường dẫn thực tế của thư mục chia sẻ
Get-Acl -Path "\\localhost\YourSharePath" | Format-List AccessToString

# Liệt kê quyền trên một khóa Registry (ví dụ: HKLM:\SOFTWARE)
Get-Acl -Path HKLM:\SOFTWARE | Format-List AccessToString

✅ Thành công: Đảm bảo rằng chỉ những người dùng hoặc nhóm cần thiết mới có quyền truy cập ghi (Write) hoặc sửa đổi (Modify) vào các tài nguyên quan trọng.

Bước 4: Kiểm tra Tài khoản Người dùng và Nhóm (User & Group Account Review)​

Đánh giá các tài khoản người dùng và nhóm để phát hiện tài khoản không sử dụng, tài khoản lạ hoặc thành viên nhóm đặc quyền không hợp lệ.

  1. Kiểm tra tài khoản Administrator và Guest:
    • Đảm bảo tài khoản Guest bị vô hiệu hóa.
    • Đảm bảo tài khoản Administrator được đổi tên và có mật khẩu mạnh.
  2. Liệt kê và kiểm tra tất cả tài khoản người dùng:
    • Tìm kiếm tài khoản không được sử dụng trong một thời gian dài.
    • Tìm kiếm tài khoản có tên lạ hoặc không tuân thủ quy ước đặt tên.
  3. Kiểm tra thành viên của các nhóm đặc quyền:
    • Administrators
    • Domain Admins (nếu là DC)
    • Enterprise Admins (nếu là DC)
    • Remote Desktop Users (để kiểm soát ai có thể RDP vào server).
# Liệt kê tất cả người dùng cục bộ và trạng thái của họ
Get-LocalUser | Select-Object Name, Enabled, PasswordLastSet, LastLogon

# Liệt kê tất cả thành viên của nhóm Administrators cục bộ
Get-LocalGroupMember -Group "Administrators"

# Liệt kê tất cả người dùng trong Active Directory (nếu là Domain Controller)
# Cần module ActiveDirectory PowerShell
# Get-ADUser -Filter * -Properties Name, Enabled, LastLogonDate | Format-Table -AutoSize

# Liệt kê thành viên của nhóm Domain Admins (nếu là Domain Controller)
# Get-ADGroupMember -Identity "Domain Admins" | Select-Object Name, SamAccountName

💡 Mẹo: So sánh danh sách người dùng và nhóm với tài liệu quản lý người dùng của bạn để phát hiện sự khác biệt.

Bước 5: Kiểm tra Cấu hình Bảo mật và Cập nhật (Security Configuration & Update Review)​

Đảm bảo máy chủ được cấu hình bảo mật đúng cách và luôn được cập nhật.

  1. Kiểm tra Windows Firewall:
    • Đảm bảo Firewall được bật và cấu hình đúng các quy tắc cho phép/chặn.
    • Chỉ mở các cổng cần thiết cho dịch vụ.
  2. Kiểm tra Cập nhật Hệ điều hành:
    • Đảm bảo Windows Update đang hoạt động và máy chủ đã được vá lỗi mới nhất.
  3. Kiểm tra Phần mềm Chống virus/Endpoint Protection:
    • Đảm bảo phần mềm chống virus được cài đặt, cập nhật và đang hoạt động.
  4. Kiểm tra các Dịch vụ không cần thiết:
    • Vô hiệu hóa các dịch vụ không được sử dụng để giảm bề mặt tấn công.
# Kiểm tra trạng thái của Windows Firewall Profile
Get-NetFirewallProfile | Select-Object Name, Enabled, Action

# Liệt kê các quy tắc Firewall đang hoạt động
Get-NetFirewallRule -Action Allow | Select-Object DisplayName, Direction, Action, Enabled | Format-Table -AutoSize

# Kiểm tra trạng thái dịch vụ Windows Update
Get-Service -Name wuauserv

# Liệt kê các dịch vụ đang chạy và tự động khởi động
Get-Service | Where-Object {$_.Status -eq "Running" -and $_.StartType -eq "Automatic"} | Format-Table Name, DisplayName

⚠️ Cảnh báo: Việc vô hiệu hóa các dịch vụ không cần thiết cần được thực hiện cẩn thận để tránh ảnh hưởng đến hoạt động của ứng dụng.

Troubleshooting​

  • Nhật ký sự kiện quá lớn, khó phân tích:
    • Giải pháp: Sử dụng bộ lọc mạnh mẽ trong Event Viewer hoặc PowerShell. Cân nhắc tích hợp với hệ thống SIEM (Security Information and Event Management) để tự động hóa việc thu thập, phân tích và cảnh báo.
  • Không có quyền truy cập:
    • Giải pháp: Đảm bảo bạn đang đăng nhập bằng tài khoản có quyền Administrator. Nếu trong môi trường Domain, cần quyền Domain Admin hoặc các quyền được ủy quyn thích hợp.
  • Lỗi khi áp dụng chính sách audit:
    • Giải pháp: Kiểm tra xem có GPO nào ghi đè chính sách cục bộ không (gpresult /h output.html). Đảm bảo cú pháp PowerShell hoặc cấu hình GPO là chính xác.

Kết Luận​

Thực hiện audit định kỳ trên Windows Server là một phần không thể thiếu của chiến lược bảo mật toàn diện. Nó giúp bạn chủ động phát hiện và khắc phục các vấn đề bảo mật, đảm bảo tuân thủ các quy định và duy trì tính ổn định của hệ thống.

Best Practices:

  • Tự động hóa: Sử dụng script PowerShell hoặc các công cụ quản lý để tự động hóa một số tác vụ audit.
  • Sử dụng SIEM: Đối với môi trường lớn, hãy tích hợp nhật ký sự kiện vào một hệ thống SIEM để phân tích tập trung và cảnh báo theo thời gian thực.
  • Lịch trình định kỳ: Thiết lập một lịch trình audit rõ ràng (ví dụ: hàng tháng, hàng quý) và tuân thủ nó.
  • Tài liệu hóa: Ghi lại tất cả các phát hiện, thay đổi cấu hình và hành động khắc phục đã thực hiện.
  • Đào tạo: Đảm bảo đội ngũ IT được đào tạo về các kỹ thuật audit và hiểu rõ tầm quan trọng của chúng.

Bằng cách tuân thủ quy trình này, bạn có thể tăng cường đáng kể tư thế bảo mật của Windows Server và giảm thiểu rủi ro từ các mối đe dọa nội bộ và bên ngoài.

Xem thêm: