Windows エンドポイント管理ガイド › 監視と監査 › 監査プロセス › インターセプト イベントの監査のしくみ

インターセプト イベントの監査のしくみ

インターセプト イベントとは、CA Access Control に初めて出現し、カーネル キャッシュに認証または監査に関する情報が格納されていないイベントです。

監査レコードをログに記録するために、CA Access Control は以下のアクションを実行し、インターセプト イベントにその結果が反映されるようにします。

• No Enforcement モードでは、イベントはインターセプトも監査もされません。
• Full Enforcement モードでは、CA Access Control は以下の処理を行います。
  1. 認証エンジンは、認証結果に基づいて、監査項目を監査キュー、および監査キャッシュに配置します。

     CA Access Control が監査項目を書き込むのは、リソースまたはアクセサの監査プロパティが結果のイベントを監査するように設定され、監査フィルタ ファイルがこのイベントをフィルタするように設定されていない場合のみです。

  2. 認証エンジンは、認証結果に関する情報および監査関連情報が含まれた応答をカーネルに返します。
• Audit Only モードでは、CA Access Control は認証要求を処理しません。 リソースおよびユーザの監査プロパティに関係なく、監査情報は常に書き込まれます。

  CA Access Control は、監査フィルタ ファイルがこのイベントをフィルタ処理するように設定されていない場合のみ、監査項目を書き込みます。 このモードでは、認証結果は常に P（許可）です。

注： インターセプトされたログイン イベント（TERMINAL クラス）、およびユーザ トレースによって生成された監査レコードはキャッシュされません。認証エンジンは、これらのイベントの監査レコードを常に書き込みます。