Verwenden von Gruppenrichtlinien zum Konfigurieren von detaillierten Sicherheitsüberwachungseinstellungen für Windows Vista-Clientcomputer in einer Windows Server 2003- oder Windows 2000-Domäne

Dieser Artikel beschreibt, wie Sie Gruppenrichtlinien zum Konfigurieren von detaillierten Sicherheitsüberwachungseinstellungen für Windows Vista-Clientcomputer in einer Windows Server 2003- oder Windows 2000-Domäne verwenden. In Windows Vista haben Sie mehr Kontrolle über die einzelnen Überwachungsrichtlinien-Unterkategorien als in früheren Versionen von Windows-Betriebssystemen. Die in Windows Vista verfügbaren Überwachungsrichtlinien-Unterkategorien werden nicht auf der Benutzeroberfläche der Gruppenrichtlinienwerkzeuge angezeigt. Mithilfe des in diesem Artikel beschriebenen Verfahrens können Administratoren eine benutzerdefinierte Überwachungsrichtlinie bereitstellen, die detaillierte Sicherheitsüberwachungseinstellungen auf Windows Vista-Clientcomputer in einer Windows Server 2003- oder Windows 2000-Domäne anwendet.

Was Sie berücksichtigen sollten

Bevor Sie das in diesem Artikel beschriebene Verfahren ausführen, sollten Sie Folgendes berücksichtigen:

• Bei diesem Verfahren wird Beispielcode verwendet. Der Beispielcode verwendet die Netlogon-Freigabe. Außerdem verwendet der Beispielcode den Ordner "%SystemRoot%\Temp" als Cache.
• Das Verfahren verwendet die Beispieldomäne "Contoso.com".
• Beim folgenden Verfahren wird davon ausgegangen, dass die nachstehenden Voraussetzungen erfüllt sind:
  • Sie sind mit den folgenden Technologien und Tools vertraut:
    • Gruppenrichtlinien-Startskripts
    • Gruppenrichtlinienkonsole
    • Befehlszeilenprogramm "Auditpol.exe"
  • Sie besitzen grundlegende Kenntnisse der Batchdateiverarbeitung.
  • Sie sind in der Lage, eine Überwachungsrichtlinie für Windows Vista-Clientcomputer in einer Windows Server 2003- oder Windows 2000-Domäne zu konfigurieren. Die Überwachungsrichtlinie ist der Standarddomänenrichtlinie zugewiesen.
• Sie sind mit den Skripts vertraut, die das Verfahren zum Überschreiben von domänenbasierten Überwachungsrichtlinieneinstellungen mit den detaillierten Überwachungsrichtlinieneinstellungen verwendet, die in Windows Vista zur Verfügung stehen. Wenn Sie die in Windows Vista verfügbaren detaillierten Überwachungsrichtlinieneinstellungen nicht konfigurieren möchten, sollten Sie das in diesem Artikel beschriebene Verfahren nicht verwenden.

Verwenden von Gruppenrichtlinien zum Konfigurieren detaillierter Sicherheitsüberwachungsrichtlinien für Windows Vista-Clientcomputer

Gehen Sie folgendermaßen vor, um Gruppenrichtlinien zum Konfigurieren von detaillierten Sicherheitsüberwachungseinstellungen für Windows Vista-Clientcomputer in einer Windows Server 2003- oder Windows 2000-Domäne zu verwenden.

Schritt 1: Legen Sie die Sicherheitsüberwachungseinstellungen fest, die Sie auf Windows Vista-Clientcomputern bereitstellen möchten

1. Melden Sie sich auf einem Computer, auf dem Windows Vista ausgeführt wird, als Benutzer mit Administratorrechten an.
2. Klicken Sie auf Start, zeigen Sie auf Alle Programme, klicken Sie auf Zubehör, klicken Sie mit der rechten Maustaste auf Eingabeaufforderung, und klicken Sie anschließend auf Als Administrator ausführen.
3. Klicken Sie im Dialogfeld Benutzerkontensteuerung auf Fortsetzen.
4. Löschen Sie die Standard-Überwachungsrichtlinieneinstellungen. Geben Sie hierzu folgende Zeile an der Eingabeaufforderung ein, und drücken Sie die [EINGABETASTE]:
   auditpol /clear
5. Konfigurieren Sie die gewünschten benutzerdefinierten Überwachungsrichtlinieneinstellungen mithilfe des Befehlszeilenprogramms "Auditpol.exe".
   
   Geben Sie an der Eingabeaufforderung beispielsweise die folgenden Zeilen ein, und drücken Sie nach jeder Zeile die [EINGABETASTE]:
   auditpol /set /subcategory:"user account management" /success:enable /failure:enable
   auditpol /set /subcategory:"logon" /success:enable /failure:enable
   auditpol /set /subcategory:"IPSEC Main Mode" /failure:enable
   Hinweis: Um alle möglichen Kategorien und Unterkategorien anzuzeigen, geben Sie die folgende Zeile an der Eingabeaufforderung ein, und drücken Sie die [EINGABETASTE]:
   auditpol /list /subcategory:*
6. Geben Sie die folgende Zeile an der Eingabeaufforderung ein, und drücken Sie die [EINGABETASTE]:
   auditpol /backup /file:auditpolicy.txt
7. Kopieren Sie die Datei "Auditpolicy.txt" auf die Netlogon-Freigabe des Domänencontrollers, der Inhaber der Rolle des PDC-Emulators (Primärer Domänencontroller, PDC) in der Domäne ist.
   
   Die Datei "Auditpolicy.txt" enthält sämtliche, von Ihnen konfigurierten Überwachungsrichtlinieneinstellungen. Das Startskript verwendet diese Datei, um die Richtlinie erneut anzuwenden. Nachdem Sie das Startskript einmal erfolgreich angewendet haben, müssen Sie den Computer nicht neu starten, um die Überwachungsrichtlinieneinstellungen zu aktualisieren. Um die Überwachungsrichtlinieneinstellungen zu aktualisieren, überschreiben Sie die frühere Version der Datei "Auditpolicy.txt", die Sie auf die Netlogon-Freigabe kopiert haben. Erstellen Sie hierzu eine neue Datei "Auditpolicy.txt", und kopieren Sie die neue Datei "Auditpolicy.txt" anschließend auf die Netlogon-Freigabe.

Schritt 2: Verhindern Sie, dass die Domänenüberwachungsrichtlinie die Überwachungsrichtlinie auf Windows Vista-Clientcomputern überschreibt

Um zu verhindern, dass die Domänenrichtlinie die Überwachungsrichtlinie überschreibt, müssen Sie die Richtlinieneinstellung Force audit policy subcategory settings (Windows Vista or later) to override audit policy category settings (Überschreiben der Kategorieeinstellungen der Überwachungsrichtlinie mit den Unterkategorieeinstellungen der Überwachungsrichtlinie (Windows Vista oder höher) erzwingen) aktivieren. Hierdurch wird verhindert, dass die domänenbasierte Überwachungsrichtlinie die detaillierten Überwachungsrichtlinieneinstellungen auf Windows Vista-Clientcomputern überschreibt. Gehen Sie hierzu folgendermaßen vor:

1. Öffnen Sie die Standarddomänenrichtlinie auf einem Windows Vista-Clientcomputer, der Mitglied der Domäne ist.
2. Erweitern Sie Computerkonfiguration, erweitern Sie Windows-Einstellungen, erweitern Sie Sicherheitseinstellungen, erweitern Sie Lokale Richtlinien, und klicken Sie anschließend auf Sicherheitsoptionen.
3. Doppelklicken Sie auf Audit: Force audit policy subcategory settings (Windows Vista or later) to override audit policy category settings (Überwachung: Überschreiben der Kategorieeinstellungen der Überwachungsrichtlinie mit den Unterkategorieeinstellungen der Überwachungsrichtlinie (Windows Vista oder höher) erzwingen).
4. Klicken Sie auf Aktiviert und anschließend auf OK.

Schritt 3: Erstellen Sie die Skripts und fügen Sie sie zur Netlogon-Freigabe hinzu

Die Verwendung der hier aufgeführten Informationen, Makro- oder Programmcodes geschieht auf Ihre eigene Verantwortung. Microsoft stellt Ihnen diese Informationen sowie Makro- und Programmlistings ohne Gewähr auf Richtigkeit, Vollständigkeit und/oder Funktionalität sowie ohne Anspruch auf Support zur Verfügung. In diesem Artikel wird vorausgesetzt, dass Sie mit der in den Beispielen verwendeten Programmiersprache und mit den zum Erstellen und Debuggen von Prozeduren verwendeten Tools vertraut sind. Die Spezialisten von Microsoft Support Services können bei der Erläuterung der Funktionalität bestimmter Prozeduren helfen, jedoch werden sie diese Beispiele nicht in Bezug auf eine erweiterte Funktionalität verändern, noch werden sie Prozeduren entwickeln, die auf Ihre besonderen Bedürfnisse zugeschnitten sind.

1. Erstellen Sie das Skript "AuditPolicy.cmd". Gehen Sie hierzu folgendermaßen vor:
   1. Starten Sie den Editor, und öffnen Sie ein leeres Dokument.
   2. Fügen Sie den folgenden Code in das Dokument im Editor ein:

      @echo off
      
      REM AuditPolicy.cmd
      REM (c) 2006 Microsoft Corporation.  All rights reserved.
      REM Sample Audit Script to deploy Windows Vista
      REM Granular Audit Policy settings.
      
      REM Should be run as a startup script from Group Policy
      
      REM ###################################################
      REM Declare Variables so that we only need to edit file
      REM names/paths in one location in script
      REM ###################################################
      
      set AuditPolicyLog=%systemroot%\temp\auditpolicy.log
      set OSVersionSwap=%systemroot%\temp\osversionwap.txt
      set OsVersionTxt=%systemroot%\temp\osversion.txt
      set MachineDomainTxt=%systemroot%\temp\machinedomain.txt
      set MachineDomainSwap=%systemroot%\temp\machinedomainSwap.txt
      set ApplyAuditPolicyCMD=applyauditpolicy.cmd
      set AuditPolicyTxt=auditpolicy.txt
      
      REM ###################################################
      REM Clear Log & start fresh
      REM ###################################################
      
      if exist %AuditPolicyLog% del %AuditPolicyLog% /q /f
      date /t > %AuditPolicyLog% & time /t >> %AuditPolicyLog%
      echo.
      
      REM ###################################################
      REM Check OS Version
      REM ###################################################
      
      ver | findstr "[" > %OSVersionSwap%
      for /f "tokens=2 delims=[" %%i in (%OSVersionSwap%) do echo %%i > %OsVersionTxt%
      for /f "tokens=2 delims=] " %%i in (%OsVersionTxt%) do set osversion=%%i
      echo OS Version=%osversion% >> %AuditPolicyLog%
      
      REM ###################################################
      REM Skip Pre-Vista
      REM ###################################################
      
      if "%osversion%" LSS "6.0" exit /b 1
      
      REM ###################################################
      REM Get Domain Name
      REM ###################################################
      
      WMIC /namespace:\\root\cimv2 path Win32_ComputerSystem get domain /format:list > %MachineDomainSwap%
      find /i "Domain=" %MachineDomainSwap% > %MachineDomainTxt%
      for /f "Tokens=2 Delims==" %%i in (%MachineDomainTxt%) do set machinedomain=%%i
      echo Machine domain=%machinedomain% >> %AuditPolicyLog%
      
      REM ###################################################
      REM Copy Script & Policy to Local Directory or Terminate
      REM ###################################################
      
      xcopy \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% %systemroot%\temp\*.* /r /h /v /y
      if %ERRORLEVEL% NEQ 0 (
          echo Could not read \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% >> %AuditPolicyLog%
          exit /b 1
      ) else (
          echo Copied \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% to %systemroot%\temp >> %AuditPolicyLog%
      )
      
      xcopy \\%machinedomain%\netlogon\%AuditPolicyTxt% %systemroot%\temp\*.* /r /h /v /y
      if %ERRORLEVEL% NEQ 0 (
          echo Could not read \\%machinedomain%\netlogon\%AuditPolicyTxt% >> %AuditPolicyLog%
          exit /b 1
      ) else (
          echo Copied \\%machinedomain%\netlogon\%AuditPolicyTxt% to %systemroot%\temp >> %AuditPolicyLog%
      )
      
      REM ###################################################
      REM Create Named Scheduled Task to Apply Policy
      REM ###################################################
      
      %systemroot%\system32\schtasks.exe /create /ru System /tn audit /sc hourly /mo 1 /f /rl highest /tr "%systemroot%\temp\%ApplyAuditPolicyCMD%"
      if %ERRORLEVEL% NEQ 0 (
          echo Failed to create scheduled task for Audit >> %AuditPolicyLog%
          exit /b 1
      ) else (
          echo Created scheduled task for Audit >> %AuditPolicyLog%
      )
      
      REM ###################################################
      REM Start Named Scheduled Task to Apply Policy
      REM ###################################################
      
      %systemroot%\system32\schtasks.exe /run /tn audit
      if %ERRORLEVEL% NEQ 0 (
          Failed to execute scheduled task for Audit >> %AuditPolicyLog%
      ) else (
          echo Executed scheduled task for Audit >> %AuditPolicyLog%
      )

   3. Klicken Sie im Menü Datei auf Speichern.
   4. Klicken Sie im Feld Dateityp auf Alle Dateien, geben Sie AuditPolicy.cmd im Feld Dateiname ein, und klicken Sie danach auf Speichern.
2. Erstellen Sie das Skript "AuditPolicy.cmd". Gehen Sie hierzu folgendermaßen vor:
   1. Starten Sie den Editor, und öffnen Sie ein leeres Dokument.
   2. Fügen Sie den folgenden Code in das Dokument im Editor ein:

      @echo off
      
      REM ApplyAuditPolicy.cmd
      REM (c) 2006 Microsoft Corporation.  All rights reserved.
      REM Sample Audit Script to deploy Windows Vista
      REM Granular Audit Policy settings.
      
      
      REM ###################################################
      REM Declare Variables so that we only need to edit file
      REM names/paths in one location in script
      REM ###################################################
      
      set DeleteAudit=DeleteAudit.txt
      set AuditPolicyLog=%systemroot%\temp\AuditPolicy.log
      set ApplyAuditPolicyLog=%systemroot%\temp\ApplyAuditPolicy.log
      set OSVersionSwap=%systemroot%\temp\osversionwap.txt
      set OsVersionTxt=%systemroot%\temp\osversion.txt
      set MachineDomainTxt=%systemroot%\temp\machinedomain.txt
      set MachineDomainSwap=%systemroot%\temp\machinedomainSwap.txt
      set ApplyAuditPolicyCMD=ApplyAuditpolicy.cmd
      set AuditPolicyTxt=AuditPolicy.txt
      
      REM ###################################################
      REM Clear Log & start fresh
      REM ###################################################
      
      if exist %ApplyAuditPolicyLog% del %ApplyAuditPolicyLog% /q /f
      date /t > %ApplyAuditPolicyLog% & time /t >> %ApplyAuditPolicyLog%
      echo.
      
      REM ###################################################
      REM Check OS Version
      REM ###################################################
      
      ver | findstr "[" > %OSVersionSwap%
      for /f "tokens=2 delims=[" %%i in (%OSVersionSwap%) do echo %%i > %OsVersionTxt%
      for /f "tokens=2 delims=] " %%i in (%OsVersionTxt%) do set osversion=%%i
      echo OS Version=%osversion% >> %ApplyAuditPolicyLog%
      
      REM ###################################################
      REM Skip Pre-Vista
      REM ###################################################
      
      if "%osversion%" LSS "6.0" exit /b 1
      
      REM ###################################################
      REM Get Domain Name
      REM ###################################################
      
      WMIC /namespace:\\root\cimv2 path Win32_ComputerSystem get domain /format:list > %MachineDomainSwap%
      find /i "Domain=" %MachineDomainSwap% > %MachineDomainTxt%
      for /f "Tokens=2 Delims==" %%i in (%MachineDomainTxt%) do set machinedomain=%%i
      echo Machine domain=%machinedomain% >> %ApplyAuditPolicyLog%
      
      REM ###################################################
      REM Delete Audit Task
      REM Should only be used to remove the pseudo-policy from
      REM client machines (designed for future Vista revisions
      REM where this script will no longer be necessary, and this
      REM script needs to be backed out).
      
      REM to use, simply create a file in NETLOGON with a name
      REM that matches the contents of DeleteAudit variable (above)
      REM ###################################################
      
      if exist \\%machinedomain%\netlogon\%DeleteAudit% (
          %systemroot%\system32\schtasks.exe /delete /tn "Audit" /F
          DEL %AuditPolicyLog%
          DEL %ApplyAuditPolicyLog%
          DEL %OSVersionSwap%
          DEL %OsVersionTxt%
          DEL %MachineDomainTxt%
          DEL %MachineDomainSwap%
          DEL %systemroot%\temp\%ApplyAuditPolicyCMD%
          DEL %systemroot%\temp\%AuditPolicyTxt%
          exit /b 1
      ) 
      
      REM ###################################################
      REM Copy Audit Policy to Local Directory
      REM This is tolerant of failures since the copy is just
      REM a "cache refresh".
      REM ###################################################
      
      xcopy \\%machinedomain%\netlogon\%AuditPolicyTxt% %systemroot%\temp\*.* /r /h /v /y
      if %ERRORLEVEL% NEQ 0 (
          echo Could not read \\%machinedomain%\netlogon\%AuditPolicyTxt% so using previous cached copy>> %ApplyAuditPolicyLog%
      ) else (
          echo Copied \\%machinedomain%\netlogon\%AuditPolicyTxt% to %systemroot%\temp >> %ApplyAuditPolicyLog%
      )
      
      REM ###################################################
      REM Apply Policy
      REM ###################################################
      
      %systemroot%\system32\auditpol.exe /restore /file:%systemroot%\temp\%AuditPolicyTxt%
      if %ERRORLEVEL% NEQ 0 (
          Failed to apply audit settings >> %ApplyAuditPolicyLog%
      ) else (
          echo Successfully applied audit settings >> %ApplyAuditPolicyLog%
      )

   3. Klicken Sie im Menü Datei auf Speichern.
   4. Klicken Sie im Feld Dateityp auf Alle Dateien, geben Sie ApplyAuditPolicy.cmd im Feld Dateiname ein, und klicken Sie danach auf Speichern.
3. Kopieren Sie die Skripts "AuditPolicy.cmd" und "ApplyAuditPolicy.cmd" auf die Netlogon-Freigabe des Domänencontrollers, der Inhaber der Rolle des PDC-Emulators in der Domäne ist.
4. Warten Sie, bis die Active Directory-Replikation stattfindet. Außerdem müssen Sie warten, bis die Dateien und Ordner im freigegebenen Ordner auf dem Systemvolume (SYSVOL) auf die Domänencontroller in der Domäne repliziert wurden.
5. Fügen Sie das Startskript zur Standarddomänenrichtlinie hinzu. Gehen Sie hierzu folgendermaßen vor:
   1. Starten Sie das Tool "Active Directory-Benutzer und -Computer".
   2. Klicken Sie mit der rechten Maustaste auf Domänenname, und klicken Sie danach auf Eigenschaften.
   3. Klicken Sie auf die Registerkarte Gruppenrichtlinie und auf Standarddomänenrichtlinie, und klicken Sie anschließend auf Bearbeiten. Der Gruppenrichtlinienobjekt-Editor wird geöffnet.
   4. Erweitern Sie Computerkonfiguration, erweitern Sie Windows-Einstellungen, und klicken Sie auf Skripts (Start/Herunterfahren).
   5. Doppelklicken Sie auf Start, und klicken Sie anschließend auf Hinzufügen.
   6. Geben Sie im Feld Skriptname den UNC-Pfad (Universal Naming Convention, UNC) der Datei "AuditPolicy.cmd" ein, die sich auf der Netlogon-Freigabe befindet. Verwenden Sie das folgende Format:
      \\VollqualifizierterDomänenname\Netlogon\AuditPolicy.cmd
      Geben Sie beispielsweise \\contoso.com\netlogon\auditpolicy.cmd ein.
   7. Klicken Sie zweimal auf OK.

Schritt 4: Überprüfen Sie, ob die Sicherheitsüberwachungseinstellungen erfolgreich angewendet wurden

1. Warten Sie, bis die Active Directory-Replikation stattfindet. Außerdem müssen Sie warten, bis die Dateien und Ordner im freigegebenen Ordner auf dem Systemvolume (SYSVOL) auf die Domänencontroller in der Domäne repliziert wurden.
2. Starten Sie einen Windows Vista-Clientcomputer neu, der Mitglied der Domäne ist. Melden Sie sich auf dem Computer als Benutzer mit Administratorberechtigungen an.
3. Klicken Sie auf Start, zeigen Sie auf Alle Programme, und klicken Sie anschließend auf Zubehör.
4. Klicken Sie mit der rechten Maustaste auf Eingabeaufforderung, und klicken Sie anschließend auf Als Administrator ausführen.
5. Klicken Sie im Dialogfeld Benutzerkontensteuerung auf Fortsetzen.
6. Geben Sie die folgende Zeile an der Eingabeaufforderung ein, und drücken Sie die [EINGABETASTE]:
   auditpol /get /category:*
7. Vergewissern Sie sich, ob die an der Eingabeaufforderung angezeigten Sicherheitsüberwachungseinstellungen mit den Einstellungen in der Datei "AuditPolicy.txt" übereinstimmen, die Sie in "Schritt 1: Legen Sie die Sicherheitsüberwachungseinstellungen fest, die Sie auf Windows Vista-Clientcomputern bereitstellen möchten" erstellt haben.
   
   Wenn die Sicherheitsüberwachungseinstellungen nicht übereinstimmen, überprüfen Sie die Protokolldateien, die vom Startskript im Ordner "%SystemRoot%\Temp" generiert werden. Sind keine Protokolldateien im Ordner "%SystemRoot%\Temp" vorhanden, überprüfen Sie den Windows Vista-Clientcomputer, um festzustellen, warum die Gruppenrichtlinie nicht angewendet wurde.

Weitere Informationen zur Konfiguration von Startskripts in Active Directory finden Sie auf den folgenden Microsoft-Websites: Weitere Informationen über die Gruppenrichtlinienkonsole finden Sie auf folgender Website von Microsoft: Weitere Informationen zu den Befehlszeilenprogrammen "Auditpol.exe" und "Schtasks.exe" finden Sie im Hilfe- und Supportcenter von Windows Vista.