Insamlingsregel för händelse med källan CertificationAuthority och ID 92

Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.92 (Rule)

Certifikattjänster kunde inte uppdatera säkerhetsbehörigheter.

Knowledge Base article:

Sammanfattning

Behörigheter för åtkomstkontroll för CA ser till att auktoriserade komponenter och användare kan utföra obligatoriska uppgifter. Fel vid åtkomstkontroll kan identifiera möjliga problem som hör ihop med otillräckligt eller felaktigt användande av behörigheter.

Lösningar

Uppdatera säkerhetsbehörigheter med ett auktoriserat användarkonto

Bekräfta att användaren som försökte uppdatera säkerhetsbehörigheter har auktoriserats för att utfärda behörigheter för objekt för Active Directory-certifikattjänster (AD CS).

Om du inte tänkte blockera användaren från att ändra behörigheter på AD CS-objekt behöver du:

Aktivera granskning på certifikatutfärdaren (CA).
Bevilja användaren de behörigheter som behövs för Administratör för certifikatutfärdare och certifikathanterare på certifikatutfärdaren (CA)
Fullfölja åtgärden som en auktoriserad användare.

För att kunna utföra dessa procedurer måste du ha behörighet att hantera certifikatutfärdare, eller ha tilldelats lämplig auktoritet.

Aktivera granskning på en certifikatutfärdare (CA)

Aktivera granskning på en certifikatutfärdare (CA):

Klicka på Start på datorn som kör certifikatutfärdaren, peka på Administrationsverktyg och klicka på Certifikatutfärdare.
Högerklicka på namnet för certifikatutfärdaren (CA) och klicka på Egenskaper.
Klicka på fliken Granskning och klicka på Ändra säkerhetsinställningar för certifikatutfärdare.
Starta om certifikatutfärdaren (CA).
Granska administrativa åtgärder på certifikatutfärdaren (CA) under flera veckor och inaktivera granskning på certifikatutfärdare när du är övertygad om att inga fler attacker kommer att inträffa.

Obs! Granskning av händelser kräver att datorn också är konfigurerad för att granska objektåtkomst. Alternativ för granskningsprincip kan visas och hanteras i lokal eller domän grupprincip under Datorkonfiguration\Windows-inställningar\Säkerhetsinställningar\Lokala principer.

Bevilja behörigheter för administratör och certifikathanterare på certifikatutfärdaren (CA)

Konfigurera Administratör för certifikatutfärdare (CA) och säkerhetsbehörigheter för certifikathanterare för en certifikatutfärdare (CA):

Klicka på Start på datorn som kör certifikatutfärdaren, peka på Administrationsverktyg och klicka på Certifikatutfärdare.
Klicka på namnet för certifikatutfärdaren i konsolträdet.
Klicka på Egenskaper på Åtgärd-menyn.
Klicka på fliken Säkerhet och specificera säkerhetsbehörigheter.
Fullfölj hanteringsåtgärden för certifikatutfärdaren som en auktoriserad användare.

Mer information om rollerna och tillgängliga säkerhetsbehörigheter för certifikatutfärdare (CA) finns i Implementerad rollbaserad administration i hjälpen för certifikatutfärdare ( http://go.microsoft.com/fwlink/?LinkId=104188).

Ytterligare

Bekräfta att CA-inloggningskontexten är korrekt:

Klicka på Start på datorn som kör certifikatutfärdaren, peka på Administrationsverktyg och klicka på Tjänster.
Bekräfta att ordet Startat visas i Status för Active Directory-certifikattjänster.

Element properties:

Target

Microsoft.Windows.CertificateServices.CARole.2016

Category

EventCollection

Enabled

True

Event_ID

Event Source

Microsoft-Windows-CertificationAuthority

Alert Generate

True

Alert Severity

Error

Alert Priority

High

Remotable

True

Alert Message

AD CS-åtkomstkontroll – uppdatera behörigheter

Händelsebeskrivning: {0}

Event Log

Application

Member Modules:

ID	Module Type	TypeId	RunAs
DS	DataSource	Microsoft.Windows.EventProvider	Default
Alert	WriteAction	System.Health.GenerateAlert	Default
WriteToCertSvcEvents	WriteAction	Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher	Default
WriteToDB	WriteAction	Microsoft.SystemCenter.CollectEvent	Default

Source Code:

<Rule ID="Microsoft.Windows.CertificateServices.CARole.2016.CertSvcEvents.92" Enabled="true" Target="CSDisc!Microsoft.Windows.CertificateServices.CARole.2016" ConfirmDelivery="true" Remotable="true" Priority="Normal" DiscardLevel="100">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="DS" TypeID="Windows!Microsoft.Windows.EventProvider">

      <ComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</ComputerName>

      <LogName>Application</LogName>

      <Expression>

        <And>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="UnsignedInteger">92</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

          <Expression>

            <SimpleExpression>

              <ValueExpression>

                <XPathQuery Type="String">PublisherName</XPathQuery>

              </ValueExpression>

              <Operator>Equal</Operator>

              <ValueExpression>

                <Value Type="String">Microsoft-Windows-CertificationAuthority</Value>

              </ValueExpression>

            </SimpleExpression>

          </Expression>

        </And>

      </Expression>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="WriteToDB" TypeID="SC!Microsoft.SystemCenter.CollectEvent"/>

    <WriteAction ID="WriteToCertSvcEvents" TypeID="Microsoft.Windows.CertificateServices.CARole.CertSvcEvents.Publisher"/>

    <WriteAction ID="Alert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>2</Priority>

      <Severity>2</Severity>

      <AlertMessageId>$MPElement[Name="AlertMessageIDc29839b12ca94b97946a97b10b78837f"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Data/EventDescription$</AlertParameter1>

      </AlertParameters>

      <Suppression>

        <SuppressionValue>$Data/EventDisplayNumber$</SuppressionValue>

        <SuppressionValue>$Data/PublisherName$</SuppressionValue>

        <SuppressionValue>$Data/LoggingComputer$</SuppressionValue>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>