Microsoft Windows Security: настройка расширенного аудита

Общие сведения

Настройка расширенной политики аудита присутствует в ОС Windows Vista/Server 2008 и выше. Политики расширенного аудита поддерживают все серверные версии Windows (Standard и Datacenter) и корпоративные клиентские машины редакции «Профессиональная» (Pro) и «Корпоративная» (Enterprise).

На текущий момент в последних версиях ОС Windows, таких как Windows 10/11, Windows Server 2016, Windows Server 2019 и Windows Server 2022 существует 10 категорий и 61 подкатегория политик аудита.

В более низких версиях операционных систем от Microsoft часть политик может отсутствовать.

Настройка расширенной политики аудита

Настройка осуществляется через локальную политику безопасности (gpedit.msc) или групповые политики (gpmc.msc).

Путь к настройкам расширенного аудита:

в ОС на русском языке: Конфигурация компьютера → Политики → Конфигурация Windows → Параметры безопасности → Конфигурация расширенной политики аудита;
в ОС на английском языке: Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration.

Политика расширенного аудита для контроллеров домена (DC)

Категория (Category)

Подкатегория (Subcategory)

Параметры аудита (Audit settings)

Вход учетной записи (Account Logon)

Аудит проверки учетных данных (Audit Credential Validation)

Успех и Отказ (Success and Failure)

Аудит службы проверки подлинности Kerberos (Audit Kerberos Authentication Service)

Успех и Отказ (Success and Failure)

Аудит операций с билетами службы Kerberos (Audit Kerberos Service Ticket Operations)

Успех и Отказ (Success and Failure)

Управление учетными записями (Account Management)

Аудит управления группами приложений (Audit Application Group Management)

Успех и Отказ (Success and Failure)

Аудит управления учетными записями компьютеров (Audit Computer Account Management)

Успех (Success)

Аудит управления группами распространения (Audit Distribution Group Management)

Успех (Success)

Аудит других событий управления учетными записями (Audit Other Account Management Events)

Успех (Success)

Аудит управления группами безопасности (Audit Security Group Management)

Успех (Success)

Аудит управления учетными записями пользователей (Audit User Account Management)

Успех и Отказ (Success and Failure)

Подробное отслеживание (Detailed Tracking)

Аудит активности DPAPI (Audit DPAPI Activity)

Успех и Отказ (Success and Failure)

PNP-действие аудита (Audit PNP Activity)

Успех (Success)

Аудит создания процессов (Audit Process Creation)

Успех (Success)

Аудит завершения процессов (Audit Process Termination)

Успех (Success)

Доступ к службе каталогов DS (DS Access)

Аудит подробной репликации службы каталогов (Audit Detailed Directory Service Replication)

Успех и Отказ (Success and Failure)

Аудит доступа к службе каталогов (Audit Directory Service Access)

Успех и Отказ (Success and Failure)

Аудит изменения службы каталогов (Audit Directory Services Changes)

Успех (Success)

Аудит репликации службы каталогов (Audit Directory Service Replication)

Успех и Отказ (Success and Failure)

Вход/выход (Logon/Logoff)

Аудит блокировки учетных записей (Audit Account Lockout)

Отказ (Failure)

Аудит выхода из системы (Audit Logoff)

Успех (Success)

Аудит входа в систему (Audit Logon)

Успех и Отказ (Success and Failure)

Аудит других событий входа и выхода (Audit Other Logon/Logoff Events)

Успех и Отказ (Success and Failure)

Аудит специального входа (Audit Special Logon)

Успех (Success)

Доступ к объектам (Object Access)

Аудит сведений об общем файловом ресурсе (Audit Detailed File Share)

Успех и Отказ (Success and Failure)

Аудит общего файлового ресурса (Audit File Share)

Успех (Success)

Аудит файловой системы (Audit File System)

Успех (Success)

Аудит работы с дескрипторами (Audit Handle Manipulation)

Успех (Success)

Аудит объектов ядра (Audit Kernel Object) [Объект-задание]

Успех и Отказ (Success and Failure)

Аудит других событий доступа к объектам (Audit Other Object Access Events)

Успех (Success)

Аудит реестра (Audit Registry)

Успех (Success)

Аудит съемного носителя (Audit Removable Storage)

Успех (Success)

Изменение политики (Policy Change)

Аудит изменения политики аудита (Audit Policy Change)

Успех (Success)

Аудит изменения политики проверки подлинности (Audit Authentication Policy Change)

Успех (Success)

Аудит изменения политики на уровне правил MPSSVC (Audit MPSSVC Rule-Level Policy Change)

Успех и Отказ (Success and Failure)

Система (System)

Аудит изменения состояния безопасности (Audit Security State Change)

Успех (Success)

Аудит расширения системы безопасности (Audit Security System Extension)

Успех (Success)

Аудит командной строки

Включение аудита создания процессов

Политика Аудит создания процессов (Audit Process Creation) включается через консоль gpedit.msc (локальные политики) или gpmc.msc (групповые политики). Для этого выполните следующие шаги:

Перейдите к настройкам политики по пути:
- в ОС на русском языке: Конфигурация компьютера → Политики → Конфигурация Windows → Параметры безопасности → Конфигурация расширенной политики аудита → Подробное отслеживание;
- в ОС на английском языке: Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration → Detailed Tracking.
Установите флажки напротив следующих параметров:
- Настроить следующие события аудита (Configure the following audit events);
- Успех (Success).
Нажмите на кнопку Применить (Apply).

Включение командной строки в события создания процессов

Политика Включать командную строку в события создания процессов (Include command line in process creation events) включается через консоль gpedit.msc (локальные политики) или gpmc.msc (групповые политики). Для этого выполните следующие шаги:

Перейдите к настройкам политики по пути:
- в ОС на русском языке: Конфигурация компьютера → Политики → Административные шаблоны → Система → Аудит создания процессов;
- в ОС на английском языке: Computer Configuration → Policies → Administrative Templates → System → Audit Process Creation.
В настройках политики выберите вариант Включено (Enabled).
Нажмите на кнопку Применить (Apply).

Если на хосте уже включена политика Аудит создания процессов (Audit Process Creation), вам необходимо только включить политику Включать командную строку в события создания процессов (Include command line in process creation events). Дополнительная перезагрузка хоста не требуется.

Дополнительные настройки

Журналирование PowerShell

Перед настройкой журналирования PowerShell убедитесь, что у вас установлена версия PowerShell 5.0 или выше (предустановлена в Windows 10/11, Windows Server 2016, Windows Server 2019 и Windows Server 2022).

Для полного логирования событий PowerShell необходимо включить следующие политики ведения журналов:

Включить регистрацию блоков сценариев PowerShell (Turn on PowerShell Script Block Logging);
Включить ведение журнала модулей (Turn on Module Logging).

Настройка политик осуществляется через оснастку gpedit.msc (локальные политики) или gpmc.msc (групповые политики). Для этого необходимо перейти к настройкам политик по пути:

в ОС на русском языке: Конфигурация компьютера → Политики → Административные шаблоны → Компоненты Windows → Windows PowerShell;
в ОС на английском языке: Computer Configuration → Policies → Administrative Templates → Windows Components → Windows PowerShell.

При необходимости вы можете отключить PowerShell 2.0, так как данная версия не имеет встроенных механизмов логирования и защиты, используемых в последних версиях.

Чтобы посмотреть текущий статус Windows PowerShell 2.0, выполните следующую команду:

Get-WindowsOptionalFeature -Online | Where-Object {$_.FeatureName -like "*PowerShellV2*"}

Чтобы отключить Windows PowerShell 2.0, выполните следующую команду:

Disable-WindowsOptionalFeature -Online -FeatureName "MicrosoftWindowsPowerShellV2Root"

Disable-WindowsOptionalFeature -Online -FeatureName "MicrosoftWindowsPowerShellV2"

microsoft windows powershell

Рекомендации по настройке списков управления доступом аудита (SACL)

Списки SACL (System Access Control List) задают правила генерации событий аудита при попытке взаимодействия субъектов с объектами операционной системы (файловая система, ключи реестра, WMI-пространства, объекты Active Directory).

Настройка аудита доступа к файлам и каталогам

Аудит доступа к файлам настраивается для каждого целевого объекта или каталога индивидуально.

Для включения аудита выполните следующие шаги:

Перейдите в групповой или локальной политике в раздел Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration → Object Access.
Откройте свойства требуемого файла или директории.
На вкладке Security нажмите на кнопку Advanced.
В появившемся окне перейдите на вкладку Auditing.
Нажмите на кнопку Add, чтобы добавить новую запись аудита.
Нажмите на кнопку Select a principal и укажите субъект, например, Everyone.
Задайте параметры разрешений (Permissions), тип аудита (Success/Failure) и область применения.

Пример настройки через групповую политику:

Чтобы параметры прав доступа к папке не перезаписывались родительскими объектами, отключите наследование: на вкладке Permissions нажмите на кнопку Disable inheritance.
На вкладке Auditing настройте требуемые параметры аудита.

Приведенные ниже записи являются базовыми рекомендациями. Аудит операций чтения или записи для высоконагруженных директорий может значительно увеличить нагрузку на дисковую подсистему и приводить к росту объема журналов событий.

Настройка аудита реестра

Настройка аудита реестра через групповые политики выполняется в разделе Policies → Windows Settings → Security Settings → Registry → Add Key. Выберите путь к нужной ветке реестра и установите требуемые правила аудита SACL аналогично процедуре настройки аудита файловой системы.

microsoft windows auditing entry

Актуальный перечень объектов и параметров SACL

В таблице ниже приведен полный перечень объектов системы (Registry Keys, Files, Directories, WMI Namespaces, Active Directory Objects), рекомендуемых к настройке аудита SACL.

Объект (Object) Тип (Type) Субъект (Principal) Разрешения (Permissions) Аудит (Audit) Описание (Description)

Объект (Object)	Тип (Type)	Субъект (Principal)	Разрешения (Permissions)	Аудит (Audit)	Описание (Description)
`HKCU\Software\Microsoft\Terminal Server Client`	Registry Key	Everyone	Delete	Success	Контроль удаления истории RDP
`HKLM\SYSTEM\CurrentControlSet\Control\Lsa`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров LSA (Authentication Packages, Security Packages, Password Filters и другие)
`HKLM\SYSTEM\CurrentControlSet\Services`	Registry Key	Everyone	Set Value	Success	Контроль изменения конфигурации служб Windows
`HKLM\SYSTEM\CurrentControlSet\Services\NTDS`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров службы Active Directory Domain Services
`HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors`	Registry Key	Everyone	Set Value	Success	Контроль изменения Port Monitors
`HKLM\SYSTEM\CurrentControlSet\Control\Print\Environments`	Registry Key	Everyone	Set Value	Success	Контроль изменения Print Processors
`HKLM\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders`	Registry Key	Everyone	Set Value	Success	Контроль изменения поставщиков службы времени Windows
`HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров Winlogon
`HKLM\Software\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров Winlogon (WOW6432Node)
`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree`	Registry Key	Everyone	Set Value	Success	Контроль изменения Task Scheduler TaskCache
`HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\Hangs`	Registry Key	Everyone	Set Value	Success	Контроль изменения ReflectDebugger
`HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Driver Signing`	Registry Key	Everyone	Set Value	Success	Контроль изменения политики Driver Signing
`HKLM\SOFTWARE\Microsoft\Windows Defender`	Registry Key	Everyone	Set Value	Success	Контроль изменения конфигурации Microsoft Defender
`HKLM\SOFTWARE\Policies\Microsoft\Windows Defender`	Registry Key	Everyone	Set Value	Success	Контроль изменения политик Microsoft Defender
`HKLM\SYSTEM\CurrentControlSet\Services\WinDefend`	Registry Key	Everyone	Set Value	Success	Контроль изменения службы Microsoft Defender
`HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing`	Registry Key	Everyone	Set Value	Success	Контроль изменения компонентов обслуживания Windows
`HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger\DefenderApiLogger`	Registry Key	Everyone	Set Value	Success	Контроль изменения ETW-провайдера Defender
`HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy`	Registry Key	Everyone	Set Value	Success	Контроль изменения политики Windows Defender Firewall
`HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall`	Registry Key	Everyone	Set Value	Success	Контроль изменения политики Windows Defender Firewall
`HKLM\SOFTWARE\Microsoft\.NETFramework`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров .NET Framework
`HKLM\SOFTWARE\WOW6432Node\Microsoft\.NETFramework`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров .NET Framework (WOW6432Node)
`HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Environment`	Registry Key	Everyone	Set Value	Success	Контроль изменения системных переменных окружения
`HKEY_USERS\<SID>\Environment`	Registry Key	Everyone	Set Value	Success	Контроль изменения пользовательских переменных окружения
`HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit`	Registry Key	Everyone	Set Value	Success	Контроль изменения политики аудита
`HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-Security`	Registry Key	Everyone	Set Value	Success	Контроль изменения ETW Security Event Log
`HKLM\SYSTEM\CurrentControlSet\Services\EventLog`	Registry Key	Everyone	Set Value	Success	Контроль изменения службы Event Log
`HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security`	Registry Key	Everyone	Set Value	Success	Контроль изменения журнала Security
`HKLM\SYSTEM\CurrentControlSet\Control\MiniNT`	Registry Key	Everyone	Set Value	Success	Контроль изменения MiniNT
`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList`	Registry Key	Everyone	Set Value	Success	Контроль скрытия учетных записей
`HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-Application{A0C1853B-5C40-4B15-8766-3CF1C58F985A}`	Registry Key	Everyone	Set Value	Success	Контроль изменения ETW-провайдера PowerShell
`HKLM\SYSTEM\CurrentControlSet\Services\VSS\Diag`	Registry Key	Everyone	Set Value	Success	Контроль изменения службы Volume Shadow Copy
`HKLM\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies`	Registry Key	Everyone	Set Value	Success	Контроль изменения политики защиты от записи
`HKLM\SOFTWARE\Policies\Microsoft\Windows\OOBE`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров OOBE
`HKLM\BCD00000000\Objects`	Registry Key	Everyone	Set Value	Success	Контроль изменения конфигурации загрузчика Windows
`HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров SafeBoot
`HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров SafeBoot
`HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run`	Registry Key	Everyone	Set Value	Success	Контроль изменения автозапуска Windows
`HKLM\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllPutSignedDataMsg`	Registry Key	Everyone	Set Value	Success	Контроль изменения SIP-провайдеров
`HKLM\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllVerifyIndirectData`	Registry Key	Everyone	Set Value	Success	Контроль изменения SIP-провайдеров
`HKLM\SOFTWARE\Microsoft\Office`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров Microsoft Office
`HKEY_USERS\<SID>\Software\Microsoft\Office`	Registry Key	Everyone	Set Value	Success	Контроль изменения пользовательских параметров Microsoft Office
`HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer`	Registry Key	Everyone	Set Value	Success	Контроль изменения службы LanmanServer
`HKLM\SYSTEM\CurrentControlSet\Services\PortProxy`	Registry Key	Everyone	Set Value	Success	Контроль изменения PortProxy
`HKLM\SOFTWARE\Classes`	Registry Key	Everyone	Set Value	Success	Контроль изменения ассоциаций файлов
`HKEY_USERS\<SID>\Software\Classes`	Registry Key	Everyone	Set Value	Success	Контроль изменения пользовательских ассоциаций файлов
`HKEY_USERS\<SID>\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts`	Registry Key	Everyone	Set Value	Success	Контроль изменения пользовательских ассоциаций расширений файлов
`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows`	Registry Key	Everyone	Set Value	Success	Контроль изменения AppInit_DLLs
`HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Windows`	Registry Key	Everyone	Set Value	Success	Контроль изменения AppInit_DLLs (WOW6432Node)
`HKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\<CA_NAME>\PolicyModules\CertificateAuthority_MicrosoftDefault.Policy`	Registry Key	Everyone	Set Value	Success	Контроль изменения конфигурации службы сертификации AD CS
`HKCU\Software\Microsoft\Office`	Registry Key	Everyone	Set Value	Success	Контроль изменения пользовательских параметров Microsoft Office
`HKLM\Software\Microsoft\Active Setup\Installed Components`	Registry Key	Everyone	Set Value	Success	Контроль изменения компонентов Active Setup
`HKLM\Software\WOW6432Node\Microsoft\Active Setup\Installed Components`	Registry Key	Everyone	Set Value	Success	Контроль изменения компонентов Active Setup (WOW6432Node)
`HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient`	Registry Key	Everyone	Set Value	Success	Контроль изменения политики DNS Client
`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров IFEO
`HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров IFEO (WOW6432Node)
`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров SilentProcessExit
`HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\SilentProcessExit`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров SilentProcessExit (WOW6432Node)
`HKEY_USERS\<SID>\Control Panel\Desktop`	Registry Key	Everyone	Set Value	Success	Контроль изменения параметров рабочего стола пользователя
`HKLM\SOFTWARE\Classes\CLSID{49B2791A-B1AE-4C90-9B8E-E860BA07F889}`	Registry Key	Everyone	Query Value, Enumerate Subkeys, Read Control	Success	Контроль доступа к COM-объекту MMC20.Application
`HKLM\SOFTWARE\Classes\CLSID{C08AFD90-F2A1-11D1-8455-00A0C91F3880}`	Registry Key	Everyone	Query Value, Enumerate Subkeys, Read Control	Success	Контроль доступа к COM-объекту ShellWindows
`HKLM\SOFTWARE\Classes\CLSID{9BA05972-F6A8-11CF-A442-00A0C90A8F39}`	Registry Key	Everyone	Query Value, Enumerate Subkeys, Read Control	Success	Контроль доступа к COM-объекту ShellWindows
`HKLM\SOFTWARE\Classes\CLSID{00024500-0000-0000-C000-000000000046}`	Registry Key	Everyone	Query Value, Enumerate Subkeys, Read Control	Success	Контроль доступа к COM-объекту Excel.Application
`HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion`	Registry Key	Everyone	Query Value, Enumerate Subkeys	Success	Контроль чтения конфигурации Windows
`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion`	Registry Key	Everyone	Query Value, Enumerate Subkeys	Success	Контроль чтения конфигурации Windows NT
`HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot`	Registry Key	Everyone	Query Value, Enumerate Subkeys	Success	Контроль чтения конфигурации SafeBoot
`HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Startup`	Registry Key	Everyone	Query Value, Enumerate Subkeys	Success	Контроль чтения конфигурации Startup Scripts
`HKLM\SOFTWARE\Classes\CLSID`	Registry Key	Everyone	Query Value, Enumerate Subkeys	Success	Контроль чтения зарегистрированных COM-классов
`HKLM\SOFTWARE\Classes\WOW6432Node\CLSID`	Registry Key	Everyone	Query Value, Enumerate Subkeys	Success	Контроль чтения зарегистрированных COM-классов (WOW6432Node)
`:\Program Files\TrueConf Server\ClientInstFiles`	Directory	Everyone	Create files / Write data	Success	Контроль изменения файлов установки TrueConf
`%USERPROFILE%\.azure\AccessTokens.json`	File	Everyone	Read data, Read attributes, Read extended attributes	Success	Контроль чтения токенов Azure
`%USERPROFILE%\.azure\AzureProfile.json`	File	Everyone	Read data, Read attributes, Read extended attributes	Success	Контроль чтения профиля Azure
`%USERPROFILE%\.aws\credentials`	File	Everyone	Read data, Read attributes, Read extended attributes	Success	Контроль чтения AWS credentials
`:\Windows\System32\CCM\Logs`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к журналам Configuration Manager
`:\pagefile.sys`	File	Everyone	Read data, Read attributes, Read extended attributes	Success	Контроль чтения pagefile
`:\hiberfil.sys`	File	Everyone	Read data, Read attributes, Read extended attributes	Success	Контроль чтения hiberfil
`:\Users\*\NTUSER.DAT`	File	Everyone	Read data, Read attributes, Read extended attributes	Success	Контроль чтения пользовательских кустов реестра
`:\ProgramData\Microsoft\Group Policy\History`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к истории групповых политик
`:\Users\*\AppData\Roaming\Microsoft\Credentials`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к пользовательским файлам учетных данных
`:\Users\*\AppData\Local\Microsoft\Credentials`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к локальным пользовательским файлам учетных данных
`:\Users\*\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к истории команд PowerShell
`:\Users\*\AppData\Roaming\gcloud`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к данным Google Cloud CLI
`:\Windows\System32\Config`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к системным кустам реестра Windows
`:\Windows\Repair`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к резервным копиям системных файлов и кустов реестра
`:\Windows\System32\AppEvent`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к файлам журналов приложений
`:\Windows\System32\SecEvent`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к файлам журнала безопасности
`:\Windows\Panther\Unattend`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к файлам автоматической установки Windows
`:\Windows\System32\Sysprep`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к файлам конфигурации Sysprep
`:\Windows\Unattend`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к файлам автоматической установки Windows
`:\Users\AppData\Local\Google\Chrome\\Extensions`	Directory	Everyone	Create files / Write data, Create folders / Append data	Success	Контроль добавления и изменения расширений Google Chrome
`:\Users\AppData\Local\Microsoft\Edge\\Extensions`	Directory	Everyone	Create files / Write data, Create folders / Append data	Success	Контроль добавления и изменения расширений Microsoft Edge
`:\Users\AppData\Local\BraveSoftware\Brave-Browser\\Extensions`	Directory	Everyone	Create files / Write data, Create folders / Append data	Success	Контроль добавления и изменения расширений Brave Browser
`:\Users\AppData\Local\Vivaldi\\Extensions`	Directory	Everyone	Create files / Write data, Create folders / Append data	Success	Контроль добавления и изменения расширений Vivaldi
`:\Users\AppData\Roaming\Opera Software\Opera Stable\\Extensions`	Directory	Everyone	Create files / Write data, Create folders / Append data	Success	Контроль добавления и изменения расширений Opera
`:\Users\AppData\Roaming\Mozilla\Firefox\Profiles\\Extensions`	Directory	Everyone	Create files / Write data, Create folders / Append data	Success	Контроль добавления и изменения расширений Mozilla Firefox
`:\Users\<USER>\AppData\Local\Microsoft\Forms`	Directory	Everyone	Create files / Write data, Create folders / Append data, Write attributes, Write extended attributes	Success	Контроль создания и изменения пользовательских форм Outlook
`:\Users\<USER>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup`	Directory	Everyone	Create files / Write data, Create folders / Append data	Success	Контроль добавления файлов в пользовательский каталог автозагрузки
`:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup`	Directory	Everyone	Create files / Write data, Create folders / Append data	Success	Контроль добавления файлов в общий каталог автозагрузки
`:\Windows\System32\spool\prtprocs`	Directory	Everyone	Create files / Write data, Create folders / Append data	Success	Контроль добавления и изменения файлов Print Processors
`:\Windows\System32\spool\drivers`	Directory	Everyone	Create files / Write data, Create folders / Append data	Success	Контроль добавления и изменения драйверов печати
`:\Users\<USER>\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt`	File	Everyone	Delete, Delete subfolders and files	Success	Контроль удаления истории команд PowerShell
`:\Users\<USER>\AppData\Local\Microsoft\Vault`	Directory	Everyone	Read data / List folder	Success	Контроль доступа к данным Windows Credential Manager
`:\Users\<USER>\AppData\Local\Microsoft\Credentials`	Directory	Everyone	Read data / List folder	Success	Контроль доступа к файлам учетных данных Windows
`:\Windows\SYSVOL\domain\Policies`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль чтения групповых политик в SYSVOL
`:\Windows\NTDS`	Directory	Everyone	Read data / List folder, Read attributes, Read extended attributes	Success	Контроль доступа к файлам базы данных Active Directory
`:\Users\<USER>\AppData\Local\Google\Chrome\User Data\Default\Login Data`	File	Everyone	Read data / List folder	Success	Контроль чтения сохраненных учетных данных Google Chrome
`:\Users\<USER>\AppData\Local\Google\Chrome\User Data\Local State`	File	Everyone	Read data / List folder	Success	Контроль чтения конфигурации и ключей шифрования Google Chrome
`:\Users\<USER>\AppData\Local\Chromium\User Data\Default\Login Data`	File	Everyone	Read data / List folder	Success	Контроль чтения сохраненных учетных данных Chromium
`:\Users\<USER>\AppData\Local\Microsoft\Edge\User Data\Local State`	File	Everyone	Read data / List folder	Success	Контроль чтения конфигурации и ключей шифрования Microsoft Edge
`:\Users\<USER>\AppData\Local\Microsoft\Edge\User Data\Default\Login Data`	File	Everyone	Read data / List folder	Success	Контроль чтения сохраненных учетных данных Microsoft Edge
`:\Users\<USER>\AppData\Roaming\Mozilla\Firefox\Profiles`	Directory	Everyone	Read data / List folder	Success	Контроль чтения пользовательских профилей Mozilla Firefox
`:\Users\<USER>\AppData\Local\Sputnik\Sputnik\User Data\Default\Login Data`	File	Everyone	Read data / List folder	Success	Контроль чтения сохраненных учетных данных браузера Sputnik
`:\Users\<USER>\AppData\Local\Yandex\YandexBrowser\User Data\Default\Ya Passman Data`	File	Everyone	Read data / List folder	Success	Контроль чтения сохраненных учетных данных Яндекс Браузера
`:\Users\<USER>\AppData\Local\BraveSoftware\Brave-Browser\User Data\Default\Login Data`	File	Everyone	Read data / List folder	Success	Контроль чтения сохраненных учетных данных Brave Browser
`:\Users\<USER>\AppData\Local\Vivaldi\User Data\Default\Login Data`	File	Everyone	Read data / List folder	Success	Контроль чтения сохраненных учетных данных Vivaldi
`:\Users\<USER>\AppData\Roaming\KTalk\Local State`	File	Everyone	Read data / List folder	Success	Контроль чтения данных приложения KTalk
`:\Users\<USER>\AppData\Roaming\Mattermost\Local State`	File	Everyone	Read data / List folder	Success	Контроль чтения данных приложения Mattermost
`:\Users\<USER>\AppData\Local\Atlassian Companion\Local State`	File	Everyone	Read data / List folder	Success	Контроль чтения данных Atlassian Companion
`:\Users\<USER>\AppData\Roaming\Microsoft\Teams\Local State`	File	Everyone	Read data / List folder	Success	Контроль чтения данных Microsoft Teams
`:\Users\<USER>\AppData\Roaming\Microsoft\Protect\CREDHIST`	File	Everyone	Read data / List folder	Success	Контроль чтения истории ключей защиты учетных данных
`:\Windows\System32\vaultcli.dll`	File	Everyone	Read data / List folder	Success	Контроль чтения библиотеки Windows Vault
`:\Users\<USER>\.git-credentials`	File	Everyone	Read data / List folder	Success	Контроль чтения сохраненных учетных данных Git
`:\Users\<USER>\.config\git\credentials`	File	Everyone	Read data / List folder	Success	Контроль чтения сохраненных учетных данных Git
`:\Users\<USER>\AppData\Roaming\Subversion\auth\svn.simple`	Directory	Everyone	Read data / List folder	Success	Контроль чтения сохраненных учетных данных Subversion
`<WEB_ROOT>\web.config`	File	Everyone	Read data / List folder	Success	Контроль чтения конфигурационного файла веб-приложения
`<WEB_ROOT>\*.config`	File	Everyone	Read data / List folder	Success	Контроль чтения конфигурационных файлов веб-приложений
`Root\CIMV2`	WMI Namespace	Everyone	Remote Enable, Execute Methods, Enable Account	Success	Контроль удаленного подключения и выполнения методов в пространстве имен WMI
`Root\CIMV2`	WMI Namespace	Everyone	Execute Methods, Provider Write, Full Write, Partial Write, Write Security	Success	Контроль выполнения методов и изменения объектов WMI
`Root\Subscription`	WMI Namespace	Everyone	Execute Methods, Provider Write, Full Write, Partial Write, Write Security	Success	Контроль операций с объектами постоянных WMI-подписок
`Root\Subscription`	WMI Namespace	Everyone	Provider Write, Full Write, Partial Write	Success	Контроль создания и изменения постоянных WMI-подписок
`Root\SecurityCenter2`	WMI Namespace	Everyone	Enable Account, Remote Enable, Execute Methods	Success	Контроль доступа к сведениям о средствах защиты Windows через WMI
`Root\Default`	WMI Namespace	Everyone	Enable Account, Remote Enable, Execute Methods	Success	Контроль доступа и выполнения методов в стандартном пространстве имен WMI
`Root\Directory\LDAP`	WMI Namespace	Everyone	Enable Account, Remote Enable, Execute Methods	Success	Контроль доступа к сведениям Active Directory через WMI
`Root\CIMV2`	WMI Namespace	Everyone	Remote Enable, Execute Methods	Success	Контроль удаленного запуска процессов и выполнения методов через WMI
`<DOMAIN>`	Active Directory Object	Everyone	Replicating Directory Changes, Replicating Directory Changes All, Replicating Directory Changes In Filtered Set, Manage Replication Topology	Success	Контроль операций репликации Active Directory

HKCU\Software\Microsoft\Terminal Server Client

Registry Key

Everyone

Delete

Success

Контроль удаления истории RDP

HKLM\SYSTEM\CurrentControlSet\Control\Lsa

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров LSA (Authentication Packages, Security Packages, Password Filters и другие)

HKLM\SYSTEM\CurrentControlSet\Services

Registry Key

Everyone

Set Value

Success

Контроль изменения конфигурации служб Windows

HKLM\SYSTEM\CurrentControlSet\Services\NTDS

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров службы Active Directory Domain Services

HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors

Registry Key

Everyone

Set Value

Success

Контроль изменения Port Monitors

HKLM\SYSTEM\CurrentControlSet\Control\Print\Environments

Registry Key

Everyone

Set Value

Success

Контроль изменения Print Processors

HKLM\SYSTEM\CurrentControlSet\Services\W32Time\TimeProviders

Registry Key

Everyone

Set Value

Success

Контроль изменения поставщиков службы времени Windows

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров Winlogon

HKLM\Software\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров Winlogon (WOW6432Node)

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree

Registry Key

Everyone

Set Value

Success

Контроль изменения Task Scheduler TaskCache

HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\Hangs

Registry Key

Everyone

Set Value

Success

Контроль изменения ReflectDebugger

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Driver Signing

Registry Key

Everyone

Set Value

Success

Контроль изменения политики Driver Signing

HKLM\SOFTWARE\Microsoft\Windows Defender

Registry Key

Everyone

Set Value

Success

Контроль изменения конфигурации Microsoft Defender

HKLM\SOFTWARE\Policies\Microsoft\Windows Defender

Registry Key

Everyone

Set Value

Success

Контроль изменения политик Microsoft Defender

HKLM\SYSTEM\CurrentControlSet\Services\WinDefend

Registry Key

Everyone

Set Value

Success

Контроль изменения службы Microsoft Defender

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing

Registry Key

Everyone

Set Value

Success

Контроль изменения компонентов обслуживания Windows

HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger\DefenderApiLogger

Registry Key

Everyone

Set Value

Success

Контроль изменения ETW-провайдера Defender

HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy

Registry Key

Everyone

Set Value

Success

Контроль изменения политики Windows Defender Firewall

HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall

Registry Key

Everyone

Set Value

Success

Контроль изменения политики Windows Defender Firewall

HKLM\SOFTWARE\Microsoft\.NETFramework

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров .NET Framework

HKLM\SOFTWARE\WOW6432Node\Microsoft\.NETFramework

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров .NET Framework (WOW6432Node)

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Environment

Registry Key

Everyone

Set Value

Success

Контроль изменения системных переменных окружения

HKEY_USERS\<SID>\Environment

Registry Key

Everyone

Set Value

Success

Контроль изменения пользовательских переменных окружения

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit

Registry Key

Everyone

Set Value

Success

Контроль изменения политики аудита

HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-Security

Registry Key

Everyone

Set Value

Success

Контроль изменения ETW Security Event Log

HKLM\SYSTEM\CurrentControlSet\Services\EventLog

Registry Key

Everyone

Set Value

Success

Контроль изменения службы Event Log

HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Security

Registry Key

Everyone

Set Value

Success

Контроль изменения журнала Security

HKLM\SYSTEM\CurrentControlSet\Control\MiniNT

Registry Key

Everyone

Set Value

Success

Контроль изменения MiniNT

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList

Registry Key

Everyone

Set Value

Success

Контроль скрытия учетных записей

HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-Application{A0C1853B-5C40-4B15-8766-3CF1C58F985A}

Registry Key

Everyone

Set Value

Success

Контроль изменения ETW-провайдера PowerShell

HKLM\SYSTEM\CurrentControlSet\Services\VSS\Diag

Registry Key

Everyone

Set Value

Success

Контроль изменения службы Volume Shadow Copy

HKLM\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies

Registry Key

Everyone

Set Value

Success

Контроль изменения политики защиты от записи

HKLM\SOFTWARE\Policies\Microsoft\Windows\OOBE

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров OOBE

HKLM\BCD00000000\Objects

Registry Key

Everyone

Set Value

Success

Контроль изменения конфигурации загрузчика Windows

HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров SafeBoot

HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров SafeBoot

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Registry Key

Everyone

Set Value

Success

Контроль изменения автозапуска Windows

HKLM\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllPutSignedDataMsg

Registry Key

Everyone

Set Value

Success

Контроль изменения SIP-провайдеров

HKLM\SOFTWARE\Microsoft\Cryptography\OID\EncodingType 0\CryptSIPDllVerifyIndirectData

Registry Key

Everyone

Set Value

Success

Контроль изменения SIP-провайдеров

HKLM\SOFTWARE\Microsoft\Office

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров Microsoft Office

HKEY_USERS\<SID>\Software\Microsoft\Office

Registry Key

Everyone

Set Value

Success

Контроль изменения пользовательских параметров Microsoft Office

HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer

Registry Key

Everyone

Set Value

Success

Контроль изменения службы LanmanServer

HKLM\SYSTEM\CurrentControlSet\Services\PortProxy

Registry Key

Everyone

Set Value

Success

Контроль изменения PortProxy

HKLM\SOFTWARE\Classes

Registry Key

Everyone

Set Value

Success

Контроль изменения ассоциаций файлов

HKEY_USERS\<SID>\Software\Classes

Registry Key

Everyone

Set Value

Success

Контроль изменения пользовательских ассоциаций файлов

HKEY_USERS\<SID>\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts

Registry Key

Everyone

Set Value

Success

Контроль изменения пользовательских ассоциаций расширений файлов

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

Registry Key

Everyone

Set Value

Success

Контроль изменения AppInit_DLLs

HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Windows

Registry Key

Everyone

Set Value

Success

Контроль изменения AppInit_DLLs (WOW6432Node)

HKLM\SYSTEM\CurrentControlSet\Services\CertSvc\Configuration\<CA_NAME>\PolicyModules\CertificateAuthority_MicrosoftDefault.Policy

Registry Key

Everyone

Set Value

Success

Контроль изменения конфигурации службы сертификации AD CS

HKCU\Software\Microsoft\Office

Registry Key

Everyone

Set Value

Success

Контроль изменения пользовательских параметров Microsoft Office

HKLM\Software\Microsoft\Active Setup\Installed Components

Registry Key

Everyone

Set Value

Success

Контроль изменения компонентов Active Setup

HKLM\Software\WOW6432Node\Microsoft\Active Setup\Installed Components

Registry Key

Everyone

Set Value

Success

Контроль изменения компонентов Active Setup (WOW6432Node)

HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient

Registry Key

Everyone

Set Value

Success

Контроль изменения политики DNS Client

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров IFEO

HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров IFEO (WOW6432Node)

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров SilentProcessExit

HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\SilentProcessExit

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров SilentProcessExit (WOW6432Node)

HKEY_USERS\<SID>\Control Panel\Desktop

Registry Key

Everyone

Set Value

Success

Контроль изменения параметров рабочего стола пользователя

HKLM\SOFTWARE\Classes\CLSID{49B2791A-B1AE-4C90-9B8E-E860BA07F889}

Registry Key

Everyone

Query Value, Enumerate Subkeys, Read Control

Success

Контроль доступа к COM-объекту MMC20.Application

HKLM\SOFTWARE\Classes\CLSID{C08AFD90-F2A1-11D1-8455-00A0C91F3880}

Registry Key

Everyone

Query Value, Enumerate Subkeys, Read Control

Success

Контроль доступа к COM-объекту ShellWindows

HKLM\SOFTWARE\Classes\CLSID{9BA05972-F6A8-11CF-A442-00A0C90A8F39}

Registry Key

Everyone

Query Value, Enumerate Subkeys, Read Control

Success

Контроль доступа к COM-объекту ShellWindows

HKLM\SOFTWARE\Classes\CLSID{00024500-0000-0000-C000-000000000046}

Registry Key

Everyone

Query Value, Enumerate Subkeys, Read Control

Success

Контроль доступа к COM-объекту Excel.Application

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion

Registry Key

Everyone

Query Value, Enumerate Subkeys

Success

Контроль чтения конфигурации Windows

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion

Registry Key

Everyone

Query Value, Enumerate Subkeys

Success

Контроль чтения конфигурации Windows NT

HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot

Registry Key

Everyone

Query Value, Enumerate Subkeys

Success

Контроль чтения конфигурации SafeBoot

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Startup

Registry Key

Everyone

Query Value, Enumerate Subkeys

Success

Контроль чтения конфигурации Startup Scripts

HKLM\SOFTWARE\Classes\CLSID

Registry Key

Everyone

Query Value, Enumerate Subkeys

Success

Контроль чтения зарегистрированных COM-классов

HKLM\SOFTWARE\Classes\WOW6432Node\CLSID

Registry Key

Everyone

Query Value, Enumerate Subkeys

Success

Контроль чтения зарегистрированных COM-классов (WOW6432Node)

:\Program Files\TrueConf Server\ClientInstFiles

Directory

Everyone

Create files / Write data

Success

Контроль изменения файлов установки TrueConf

%USERPROFILE%\.azure\AccessTokens.json

File

Everyone

Read data, Read attributes, Read extended attributes

Success

Контроль чтения токенов Azure

%USERPROFILE%\.azure\AzureProfile.json

File

Everyone

Read data, Read attributes, Read extended attributes

Success

Контроль чтения профиля Azure

%USERPROFILE%\.aws\credentials

File

Everyone

Read data, Read attributes, Read extended attributes

Success

Контроль чтения AWS credentials

:\Windows\System32\CCM\Logs

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к журналам Configuration Manager

:\pagefile.sys

File

Everyone

Read data, Read attributes, Read extended attributes

Success

Контроль чтения pagefile

:\hiberfil.sys

File

Everyone

Read data, Read attributes, Read extended attributes

Success

Контроль чтения hiberfil

:\Users\*\NTUSER.DAT

File

Everyone

Read data, Read attributes, Read extended attributes

Success

Контроль чтения пользовательских кустов реестра

:\ProgramData\Microsoft\Group Policy\History

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к истории групповых политик

:\Users\*\AppData\Roaming\Microsoft\Credentials

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к пользовательским файлам учетных данных

:\Users\*\AppData\Local\Microsoft\Credentials

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к локальным пользовательским файлам учетных данных

:\Users\*\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к истории команд PowerShell

:\Users\*\AppData\Roaming\gcloud

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к данным Google Cloud CLI

:\Windows\System32\Config

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к системным кустам реестра Windows

:\Windows\Repair

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к резервным копиям системных файлов и кустов реестра

:\Windows\System32\AppEvent

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к файлам журналов приложений

:\Windows\System32\SecEvent

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к файлам журнала безопасности

:\Windows\Panther\Unattend

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к файлам автоматической установки Windows

:\Windows\System32\Sysprep

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к файлам конфигурации Sysprep

:\Windows\Unattend

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к файлам автоматической установки Windows

:\Users*\AppData\Local\Google\Chrome\*\Extensions

Directory

Everyone

Create files / Write data, Create folders / Append data

Success

Контроль добавления и изменения расширений Google Chrome

:\Users*\AppData\Local\Microsoft\Edge\*\Extensions

Directory

Everyone

Create files / Write data, Create folders / Append data

Success

Контроль добавления и изменения расширений Microsoft Edge

:\Users*\AppData\Local\BraveSoftware\Brave-Browser\*\Extensions

Directory

Everyone

Create files / Write data, Create folders / Append data

Success

Контроль добавления и изменения расширений Brave Browser

:\Users*\AppData\Local\Vivaldi\*\Extensions

Directory

Everyone

Create files / Write data, Create folders / Append data

Success

Контроль добавления и изменения расширений Vivaldi

:\Users*\AppData\Roaming\Opera Software\Opera Stable\*\Extensions

Directory

Everyone

Create files / Write data, Create folders / Append data

Success

Контроль добавления и изменения расширений Opera

:\Users*\AppData\Roaming\Mozilla\Firefox\Profiles\*\Extensions

Directory

Everyone

Create files / Write data, Create folders / Append data

Success

Контроль добавления и изменения расширений Mozilla Firefox

:\Users\<USER>\AppData\Local\Microsoft\Forms

Directory

Everyone

Create files / Write data, Create folders / Append data, Write attributes, Write extended attributes

Success

Контроль создания и изменения пользовательских форм Outlook

:\Users\<USER>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

Directory

Everyone

Create files / Write data, Create folders / Append data

Success

Контроль добавления файлов в пользовательский каталог автозагрузки

:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup

Directory

Everyone

Create files / Write data, Create folders / Append data

Success

Контроль добавления файлов в общий каталог автозагрузки

:\Windows\System32\spool\prtprocs

Directory

Everyone

Create files / Write data, Create folders / Append data

Success

Контроль добавления и изменения файлов Print Processors

:\Windows\System32\spool\drivers

Directory

Everyone

Create files / Write data, Create folders / Append data

Success

Контроль добавления и изменения драйверов печати

:\Users\<USER>\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt

File

Everyone

Delete, Delete subfolders and files

Success

Контроль удаления истории команд PowerShell

:\Users\<USER>\AppData\Local\Microsoft\Vault

Directory

Everyone

Read data / List folder

Success

Контроль доступа к данным Windows Credential Manager

:\Users\<USER>\AppData\Local\Microsoft\Credentials

Directory

Everyone

Read data / List folder

Success

Контроль доступа к файлам учетных данных Windows

:\Windows\SYSVOL\domain\Policies

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль чтения групповых политик в SYSVOL

:\Windows\NTDS

Directory

Everyone

Read data / List folder, Read attributes, Read extended attributes

Success

Контроль доступа к файлам базы данных Active Directory

:\Users\<USER>\AppData\Local\Google\Chrome\User Data\Default\Login Data

File

Everyone

Read data / List folder

Success

Контроль чтения сохраненных учетных данных Google Chrome

:\Users\<USER>\AppData\Local\Google\Chrome\User Data\Local State

File

Everyone

Read data / List folder

Success

Контроль чтения конфигурации и ключей шифрования Google Chrome

:\Users\<USER>\AppData\Local\Chromium\User Data\Default\Login Data

File

Everyone

Read data / List folder

Success

Контроль чтения сохраненных учетных данных Chromium

:\Users\<USER>\AppData\Local\Microsoft\Edge\User Data\Local State

File

Everyone

Read data / List folder

Success

Контроль чтения конфигурации и ключей шифрования Microsoft Edge

:\Users\<USER>\AppData\Local\Microsoft\Edge\User Data\Default\Login Data

File

Everyone

Read data / List folder

Success

Контроль чтения сохраненных учетных данных Microsoft Edge

:\Users\<USER>\AppData\Roaming\Mozilla\Firefox\Profiles

Directory

Everyone

Read data / List folder

Success

Контроль чтения пользовательских профилей Mozilla Firefox

:\Users\<USER>\AppData\Local\Sputnik\Sputnik\User Data\Default\Login Data

File

Everyone

Read data / List folder

Success

Контроль чтения сохраненных учетных данных браузера Sputnik

:\Users\<USER>\AppData\Local\Yandex\YandexBrowser\User Data\Default\Ya Passman Data

File

Everyone

Read data / List folder

Success

Контроль чтения сохраненных учетных данных Яндекс Браузера

:\Users\<USER>\AppData\Local\BraveSoftware\Brave-Browser\User Data\Default\Login Data

File

Everyone

Read data / List folder

Success

Контроль чтения сохраненных учетных данных Brave Browser

:\Users\<USER>\AppData\Local\Vivaldi\User Data\Default\Login Data

File

Everyone

Read data / List folder

Success

Контроль чтения сохраненных учетных данных Vivaldi

:\Users\<USER>\AppData\Roaming\KTalk\Local State

File

Everyone

Read data / List folder

Success

Контроль чтения данных приложения KTalk

:\Users\<USER>\AppData\Roaming\Mattermost\Local State

File

Everyone

Read data / List folder

Success

Контроль чтения данных приложения Mattermost

:\Users\<USER>\AppData\Local\Atlassian Companion\Local State

File

Everyone

Read data / List folder

Success

Контроль чтения данных Atlassian Companion

:\Users\<USER>\AppData\Roaming\Microsoft\Teams\Local State

File

Everyone

Read data / List folder

Success

Контроль чтения данных Microsoft Teams

:\Users\<USER>\AppData\Roaming\Microsoft\Protect\CREDHIST

File

Everyone

Read data / List folder

Success

Контроль чтения истории ключей защиты учетных данных

:\Windows\System32\vaultcli.dll

File

Everyone

Read data / List folder

Success

Контроль чтения библиотеки Windows Vault

:\Users\<USER>\.git-credentials

File

Everyone

Read data / List folder

Success

Контроль чтения сохраненных учетных данных Git

:\Users\<USER>\.config\git\credentials

File

Everyone

Read data / List folder

Success

Контроль чтения сохраненных учетных данных Git

:\Users\<USER>\AppData\Roaming\Subversion\auth\svn.simple

Directory

Everyone

Read data / List folder

Success

Контроль чтения сохраненных учетных данных Subversion

<WEB_ROOT>\web.config

File

Everyone

Read data / List folder

Success

Контроль чтения конфигурационного файла веб-приложения

<WEB_ROOT>\*.config

File

Everyone

Read data / List folder

Success

Контроль чтения конфигурационных файлов веб-приложений

Root\CIMV2

WMI Namespace

Everyone

Remote Enable, Execute Methods, Enable Account

Success

Контроль удаленного подключения и выполнения методов в пространстве имен WMI

Root\CIMV2

WMI Namespace

Everyone

Execute Methods, Provider Write, Full Write, Partial Write, Write Security

Success

Контроль выполнения методов и изменения объектов WMI

Root\Subscription

WMI Namespace

Everyone

Execute Methods, Provider Write, Full Write, Partial Write, Write Security

Success

Контроль операций с объектами постоянных WMI-подписок

Root\Subscription

WMI Namespace

Everyone

Provider Write, Full Write, Partial Write

Success

Контроль создания и изменения постоянных WMI-подписок

Root\SecurityCenter2

WMI Namespace

Everyone

Enable Account, Remote Enable, Execute Methods

Success

Контроль доступа к сведениям о средствах защиты Windows через WMI

Root\Default

WMI Namespace

Everyone

Enable Account, Remote Enable, Execute Methods

Success

Контроль доступа и выполнения методов в стандартном пространстве имен WMI

Root\Directory\LDAP

WMI Namespace

Everyone

Enable Account, Remote Enable, Execute Methods

Success

Контроль доступа к сведениям Active Directory через WMI

Root\CIMV2

WMI Namespace

Everyone

Remote Enable, Execute Methods

Success

Контроль удаленного запуска процессов и выполнения методов через WMI

<DOMAIN>

Active Directory Object

Everyone

Replicating Directory Changes, Replicating Directory Changes All, Replicating Directory Changes In Filtered Set, Manage Replication Topology

Success

Контроль операций репликации Active Directory

Была ли полезна эта страница?

Обратная связь

Microsoft Windows Security: настройка расширенного аудита

Общие сведения

Настройка расширенной политики аудита

Рекомендованные параметры политики расширенного аудита для рабочих станций и серверов

Политика расширенного аудита для контроллеров домена (DC)

Аудит командной строки

Включение аудита создания процессов

Включение командной строки в события создания процессов

Дополнительные настройки

Журналирование PowerShell

Рекомендации по настройке списков управления доступом аудита (SACL)

Настройка аудита доступа к файлам и каталогам

Настройка аудита реестра

Актуальный перечень объектов и параметров SACL