Intune Insights: Prozess-Audit für App-Metering aktivieren

Avatar
Nerdio Product Support

App-Metering basiert auf den Ereignissen für das Starten und Beenden von Prozessen, die Windows im Ereignisprotokoll „Sicherheit“ erfasst. Windows erfasst diese Ereignisse nur, wenn das Audit für Prozesserstellung und Prozessbeendigung auf dem Gerät aktiviert ist. Dieser Artikel beschreibt, wie Sie beides auf Ihren Zielgeräten entweder über eine Intune-Einstellungskatalogrichtlinie oder eine Gruppenrichtlinie aktivieren und überprüfen, ob die Ereignisse erfasst werden.

Aktivieren Sie das Audit auf Ihren Zielgeräten, bevor Sie App-Metering aktivieren. Einen Überblick über das Feature und dessen Aktivierung finden Sie unter Intune Insights: App-Metering aktivieren und konfigurieren.

Die folgenden Audit-Unterkategorien generieren die Ereignisse, die App-Metering benötigt:

Unterkategorie

Ereignis-ID

Was erfasst wird

Audit der Prozesserstellung

4688 - Ein neuer Prozess wurde erstellt

Der Prozessname, der übergeordnete Prozess, der User, der Token-Erhöhungstyp und die Befehlszeile (sofern die Erfassung der Befehlszeile aktiviert ist).

Audit der Prozessbeendigung

4689 - Ein Prozess wurde beendet

Wann ein Prozess endete und dessen Beendigungsstatus.

Wichtig

Verwenden Sie nur eine der Methoden in diesem Artikel, basierend auf Ihrer Umgebung. Passen Sie die Schritte an Ihre internen Prozesse an und stellen Sie sicher, dass Ihr Richtlinienverwaltungsteam dem Ansatz zustimmt, bevor Sie ihn implementieren.

Audit mit einer Intune-Einstellungskatalogrichtlinie aktivieren

Der Einstellungskatalog ist die empfohlene Methode. Er ersetzt benutzerdefinierte OMA-URI-Einstellungen für diese Konfigurationen. Sie erstellen ein einzelnes Konfigurationsprofil, das beide Audit-Unterkategorien aktiviert, die Erfassung der Befehlszeile anschaltet und die Einstellungen vor der alten Audit-Richtlinie schützt.

So erstellen Sie das Profil:

  1. Melden Sie sich beim Microsoft Intune Admin Center an.

  2. Navigieren Sie zu Geräte > Konfiguration, wählen Sie Erstellen und dann Neue Richtlinie.

  3. Wählen Sie für Plattform die Option Windows 10 und höher. Wählen Sie für Profiltyp die Option Einstellungskatalog und dann Erstellen.

  4. Geben Sie einen nachvollziehbaren Namen für das Profil ein, zum Beispiel WIN - Sicherheit - Prozessaudit (4688/4689), und wählen Sie dann Weiter.

So fügen Sie die Audit-Unterkategorien hinzu

  1. Wählen Sie Einstellungen hinzufügen aus.

  2. Suchen Sie nach Detaillierte Nachverfolgung und erweitern Sie dann die Kategorie Audit.

  3. Wählen Sie Detaillierte Nachverfolgung – Audit der Prozesserstellung und Detaillierte Nachverfolgung – Audit der Prozessbeendigung aus.

  4. Legen Sie beide Einstellungen auf Erfolg fest. Wählen Sie nicht Erfolg+Fehler aus, da keine Fehlerereignisse zum Sammeln vorhanden sind.

So fügen Sie die Befehlszeilenerfassung hinzu

  1. Wählen Sie Einstellungen hinzufügen aus.

  2. Suchen Sie nach Befehlszeile in Prozesserstellungsereignissen einschließen.

  3. Erweitern Sie Administrative Vorlagen > System > Audit der Prozesserstellung, wählen Sie die Einstellung aus und legen Sie sie auf Aktiviert fest.

So schützen Sie die Einstellungen vor der älteren Auditrichtlinie

  1. Wählen Sie Einstellungen hinzufügen aus.

  2. Suchen Sie nach Einstellungen für Unterkategorien der Auditrichtlinie erzwingen.

  3. Erweitern Sie Lokale Richtlinien – Sicherheitsoptionen und wählen Sie Audit: Erzwingen, dass Einstellungen für Unterkategorien der Auditrichtlinie (Windows Vista oder höher) die Einstellungen für Kategorien der Auditrichtlinie außer Kraft setzen aus. Legen Sie die Einstellung dann auf Aktiviert fest.

    Diese Einstellung verhindert, dass die ältere Auditrichtlinie die von Ihnen konfigurierten Unterkategorieneinstellungen überschreibt.

So weisen Sie das Profil zu und stellen es bereit

  1. Wählen Sie Weiter aus, um durch Scope-Tags zu navigieren.

  2. Weisen Sie das Profil auf der Seite Zuweisungen zuerst Ihrer Pilot-Gerätegruppe zu. Weisen Sie das Profil Geräten zu, nicht Usern.

  3. Wählen Sie Weiter aus. Wählen Sie dann auf der Seite Überprüfen + erstellen die Option Erstellen aus.

  4. Warten Sie die normale Intune-Synchronisierung ab. Navigieren Sie auf dem Testgerät zu Einstellungen > Konten > Auf Arbeitsplatz oder Schule zugreifen, um die Synchronisierung zu beschleunigen. Wählen Sie das verbundene Konto, dann Info und schließlich Synchronisieren aus.

  5. Navigieren Sie im Intune Admin Center zu Geräte > Konfiguration und wählen Sie Ihr Profil aus. Prüfen Sie, ob unter Gerätestatus der Status Erfolgreich abgeschlossen angezeigt wird.

Audit mit einer Gruppenrichtlinie aktivieren

Verwenden Sie diese Methode für Geräte, die über Gruppenrichtlinien verwaltet werden. Sie erstellen ein GPO und verlinken es. Das GPO aktiviert beide Audit-Unterkategorien, schaltet die Befehlszeilenerfassung an, schützt die Einstellungen vor der älteren Auditrichtlinie und legt die Größe des Sicherheitsprotokolls so fest, dass es genügend Platz für die Ereignisse bietet.

So erstellen und verlinken Sie das GPO

  1. Öffnen Sie auf einem Domänencontroller oder einer Verwaltungsarbeitsstation die Gruppenrichtlinienverwaltung.

  2. Klicken Sie mit der rechten Maustaste auf die Ziel-OU und wählen Sie dann GPO in dieser Domäne erstellen und hier verlinken aus.

  3. Geben Sie einen Namen für das GPO ein, zum Beispiel WIN - Sicherheit - Prozess-Audit.

  4. Klicken Sie mit der rechten Maustaste auf das neue GPO und wählen Sie dann Bearbeiten aus.

So aktivieren Sie die Audit-Unterkategorien

  1. Navigieren Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Erweiterte Audit-Richtlinienkonfiguration > Audit-Richtlinien > Detaillierte Nachverfolgung.

  2. Öffnen Sie Audit der Prozesserstellung. Aktivieren Sie das Kontrollkästchen Folgende Auditereignisse konfigurieren, aktivieren Sie das Kontrollkästchen Erfolg und lassen Sie Fehler deaktiviert. Wählen Sie anschließend OK aus.

  3. Öffnen Sie Audit der Prozessbeendigung. Aktivieren Sie das Kontrollkästchen Folgende Auditereignisse konfigurieren, aktivieren Sie das Kontrollkästchen Erfolg und lassen Sie Fehler deaktiviert. Wählen Sie anschließend OK aus.

So aktivieren Sie das Erfassen der Befehlszeile

  1. Navigieren Sie zu Computerkonfiguration > Richtlinien > Administrative Vorlagen > System > Audit der Prozesserstellung.

  2. Öffnen Sie Befehlszeile in Prozesserstellungsereignissen einschließen und wählen Sie Aktiviert und dann OK aus.

So schützen Sie die Einstellungen vor der älteren Auditrichtlinie

  1. Navigieren Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen.

  2. Öffnen Sie Audit: Unterkategorieeinstellungen der Auditrichtlinie (Windows Vista oder höher) erzwingen, um Kategorieeinstellungen der Auditrichtlinie zu überschreiben. Aktivieren Sie das Kontrollkästchen Diese Richtlinieneinstellung definieren und wählen Sie Aktiviert und dann OK aus.

So legen Sie die Größe des Sicherheitsprotokolls fest

  1. Navigieren Sie zu Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Ereignisprotokolldienst > Sicherheit.

  2. Öffnen Sie Maximalwert für die Protokolldateigröße (KB) angeben und wählen Sie Aktiviert aus. Legen Sie den Maximalwert für die Protokolldateigröße auf 196608 oder höher fest und wählen Sie OK aus.

So wenden Sie die Richtlinie an

  1. Schließen Sie den Gruppenrichtlinienverwaltungs-Editor.

  2. Führen Sie auf einem Testcomputer den folgenden Befehl aus:

    gpupdate /force

  3. Lassen Sie für Computer, für die Sie keine Aktualisierung erzwingen, bis zu zwei Aktualisierungszyklen (etwa 90 bis 120 Minuten) Zeit, damit die Richtlinie angewendet wird.

Überprüfen, ob das Audit funktioniert

Führen Sie die folgenden Befehle auf einem Zielgerät in einer Eingabeaufforderung mit erhöhten Rechten aus.

  1. Bestätigen Sie die effektive Auditrichtlinie. Prozesserstellung und Prozessbeendigung sollten beide Erfolg anzeigen.

    auditpol /get /category:"Detailed Tracking"

  2. Bestätigen Sie, dass die Befehlszeilenerfassung aktiviert ist. Der Wert sollte 0x1 sein.

    reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit" /v ProcessCreationIncludeCmdLine_Enabled

  3. Öffnen Sie den Editor und lesen Sie dann das neueste 4688-Ereignis. Das Ereignis sollte einen Neuen Prozessnamen und ein mit Daten aufgefülltes Feld Prozessbefehlszeile anzeigen.

    wevtutil qe Security /q:"*[System[(EventID=4688)]]" /c:1 /rd:true /f:text

  4. Schließen Sie den Editor und bestätigen Sie dann, dass 4689-Ereignisse aufgezeichnet werden.

    wevtutil qe Security /q:"*[System[(EventID=4689)]]" /c:1 /rd:true /f:text

Troubleshooting

  • Überhaupt keine 4688-Ereignisse. Eine Legacy-Auditrichtlinie überschreibt möglicherweise Ihre Einstellungen. Suchen Sie im Sicherheitsprotokoll nach Ereignis-ID 4719 (Systemauditrichtlinie wurde geändert) und prüfen Sie, ob die Option Audit: Unterkategorieeinstellungen der Auditrichtlinie erzwingen aktiviert ist.

  • 4688-Ereignisse erscheinen, aber das Feld „Prozessbefehlszeile“ ist leer. Die Einstellung unter „Administrative Vorlagen“ wurde nicht angewendet. Überprüfen Sie den Registry-Wert, der unter Überprüfen, ob das Audit funktioniert beschrieben ist. Die Befehlszeilenerfassung wirkt sich nur auf Ereignisse aus, die nach dem Anwenden der Einstellung generiert werden; sie ist nicht rückwirkend.

  • Ereignisse bleiben nach einigen Stunden aus. Das Sicherheitsprotokoll wird überschrieben. Erhöhen Sie den Maximalwert für die Protokollgröße oder leiten Sie Ereignisse an einen Collector oder ein SIEM weiter.

  • Das Intune-Profil zeigt Fehler 65000 oder einen Konflikt an. Ein anderes Profil, eine Sicherheitsbaseline oder eine On-Prem-Gruppenrichtlinie (GPO) legt dieselbe Audit-Unterkategorie fest. Bei hybrid eingebundenen Geräten entsteht häufig ein Konflikt, wenn sowohl die Gruppenrichtlinie als auch Intune Auditrichtlinien festlegen. Wählen Sie für jede Einstellung eine Autorität.

  • Die Einstellungen werden angewendet, aber auf einem Cloud-PC oder Sitzungshost ändert sich nichts. Bestätigen Sie, dass die Richtlinie einer Gerätegruppe zugewiesen ist, die die Cloud-PC- oder Sitzungshost-Objekte enthält, und nicht den Usern.

Verwandte Artikel

Benötigen Sie Hilfe?

Erstellen Sie ein Support-Ticket für dieses Element.

War dieser Beitrag hilfreich?

0 von 0 fanden dies hilfreich
Haben Sie Fragen? Anfrage einreichen

Verwandte Beiträge

Kommentare (0 Kommentare)

Zu diesem Beitrag können keine Kommentare hinterlassen werden.