Auditoria é um processo de acompanhamento das ações que são executadas pelos usuários, pelo Windows e pelos programas, no computador ou através da rede, tanto ações do próprio Sistema operacional, como por exemplo a inicialização de  um serviço, quanto ações do usuário, como um logon ou um acesso a uma pasta compartilhada.

Por exemplo, toda vez que o Windows 7 é inicializado uma série de serviços são iniciados automaticamente, como o serviço spooler que controla a impressão. Cada um destes serviços é capaz de escrever eventos nos logs de auditoria do Windows 7. Um evento é uma mensagem que pode ser informativa, pode ser um aviso e pode ser uma mensagem de erro. Um outro exemplo, quando um usuário tenta fazer o logon e informa uma senha errada, um evento é gravado no log de segurança.

A auditoria de segurança monitora vários eventos relativos à segurança. O monitoramento de eventos do sistema é necessário para detectar invasores e tentativas de comprometer os dados do sistema. Uma tentativa de logon sem êxito é um exemplo de um evento que pode ser submetido à auditoria.

Os tipos mais comuns de eventos a serem submetidos à auditoria são:

• Acesso a objetos, como arquivos e pastas
• Gerenciamento de contas de usuários e grupos
• Quando os usuários fazem logon e logoff no sistema

Além da auditoria de eventos relacionados à segurança, um log de segurança é gerado automaticamente pelo Windows 7, oferecendo um meio para que o Administrador visualize os eventos de segurança registrados neste log. O log de segurança pode ser exibido com o console Visualizar eventos, que aprenderemos a utilizar nas próximas lições.

Uma mensagem no log do sistema possui informações tais como o usuário que executa a ação, a ação executada e se esta foi executada com sucesso ou não e data e hora em que a ação foi executada.

Também podemos configurar o log para indicar quais eventos queremos que sejam gravados, como por exemplo: tentativas de logon com sucesso, tentativas de logon sem sucesso ou ambas. Por exemplo, posso definir que toda vez que um usuário tentar acessar um determinado arquivo, sem ter a devida permissão, que seja registrado um evento no log de segurança.

Também podemos definir se acessos a arquivos, pastas e impressoras devem ser monitorados ou não. Além disso podemos definir se devem ser monitorados somente acessos bem-sucedidos ou acessos negados, tais como um usuário com permissão somente de leitura que tenta alterar um determinado arquivo em uma pasta compartilhada. 

Acessamos os logs do sistema utilizando a opção Visualizador de Eventos, do console Gerenciamento do computador. Também podemos utilizar o console Visualizador de Eventos que é acessado através da opção Ferramentas administrativas, do Painel de controle. O console Visualizador de Eventos é configurado para carregar apenas o Snap-in para trabalhar com eventos, ao contrário do console Gerenciamento do computador, que é configurado para carregar uma série de Snap-ins, dentre eles, o Snap-in Visualizar eventos.

Novidade do Windows Vista e do Windows 7: Nas versões anteriores do Windows, até o Windows XP, por padrão, existiam apenas três opções de Logs: Log do Aplicativo, Log de segurança e Log do Sistema. No Windows 7 o número de logs é bem maior e dividido em categorias.

Por padrão, existem as seguintes categorias de logs:

• Logs do Windows: A categoria Logs do Windows inclui os logs disponíveis em versões anteriores do Windows: Aplicativo, Segurança e Sistema. Ela também inclui dois novos logs: de instalação e Eventos encaminhados (ForwardedEvents). A principal função dos logs desta categoria é garantir a compatibilidade com aplicações que dependem destes logs, para o seu funcionamento.
• Logs de Aplicativos e Serviços: Esta é uma nova categoria de logs de eventos. Esses logs armazenam eventos de um único aplicativo ou componente, em vez de eventos relacionados ao sistema como um todo (que é o caso dos logs da categoria Logs do Windows). Essa categoria de log inclui quatro subtipos: logs Admin, Operacional, Analítico e Depuração. Os eventos dos logs Admin são especialmente interessantes para Profissionais de TI que estão pesquisando nos logs, em busca de informações para solucionar problemas em um aplicativo específico. Os eventos do log Admin devem fornecer diretrizes sobre como solucioná-los. Os eventos do log Operacional também são úteis para Profissionais de TI, porém apresentam um nível técnico mais elevado, o qual muitas vezes só poderá ser interpretado por especialistas na aplicação a qual se refere o log. Os logs Admin e Depuração não são de fácil compreensão para o usuário. Os logs Analíticos armazenam eventos que acompanham um assunto e, freqüentemente, um grande volume de eventos é registrado. Os logs de Depuração são usados pelos desenvolvedores ao depurar aplicativos. Os logs Analíticos e de Depuração ficam ocultos e desabilitados por padrão. Na parte prática aprenderemos as configurações para habilitar e exibir os logs de Depuração e Analíticos.

Novidade do Windows Vista e Windows 7: A infra-estrutura que permite o funcionamento dos logs de eventos foi completamente reformulada a partir do Windows Vista, em relação as versões anteriores do Windows. As informações de cada evento correspondem a um esquema XML, e você pode acessar o XML representando um determinado evento. Também é possível montar consultas XML com base em logs de eventos. Não é necessário conhecer XML para usar os novos recursos disponíveis. O recurso Visualizar Eventos permite que você acesse a funcionalidade em um formato gráfico de fácil uso, conforme mostrarei através de exemplos práticos, passo-a-passo.

A seguir passo a descrever as opções de logs que existem dentro de cada categoria.

Categoria Logs do Windows: Por padrão existem cinco logs nesta categoria, conforme descrito a seguir:

• Aplicativo: Contém erros, avisos e mensagens de informação de diversos programas que rodam no Windows 7. Por exemplo, o Microsoft SQL Server 2005 (banco de dados da Microsoft) grava uma série de eventos no log Aplicativo. O log do aplicativo contém eventos registrados por aplicativos ou programas. Por exemplo, um programa de banco de dados pode registrar um erro de arquivo no log do aplicativo. Os desenvolvedores de programa decidem quais eventos monitorar, isto é, ao desenvolver um programa, podemos definir quais eventos o programa irá gravar no log de eventos do Windows 7.
• Segurança: Contém informações sobre o sucesso ou não de eventos de auditoria, de acordo com definições das políticas de auditoria. Conforme veremos adiante, as políticas de auditoria definem quais eventos serão monitorados. O log de segurança registra eventos como tentativas de logon válidas e inválidas, assim como eventos relacionados ao uso de recursos, como criar, abrir ou excluir arquivos ou outros objetos. Um administrador pode especificar os eventos que serão registrados no log de segurança. Por exemplo, se você ativou a auditoria de logon, as tentativas de logon no sistema serão registradas no log de segurança. Através das diretivas de segurança (as quais veremos neste capítulo), você pode fazer configurações refinadas no log de segurança, tais como gravar eventos somente para tentativas de logon sem sucesso, mas não gravar para tentativas de logon com sucesso.

• Sistema: Contém erros, avisos e informações geradas pelo próprio Windows 7.  O Windows 7 define quais os eventos que serão gerados e gravados neste log. O log do sistema contém eventos registrados pelos componentes de sistema do Windows 7. Por exemplo, a falha no carregamento de um driver de hardware ou de outro componente do sistema ao ser carregado durante a inicialização é registrada no log do sistema. Os tipos de evento registrados no log pelos componentes do sistema são determinados previamente pelo Windows 7.
• Instalação: O log de instalação contém eventos relacionados à instalação de aplicativos.
• Eventos Encaminhados: O log Eventos Encaminhados é usado para armazenar eventos coletados de computadores remotos. Para coletar eventos de computadores remotos, é preciso criar uma inscrição de evento. Na parte prática, mostrarei como criar Inscrições de eventos.

Nota: À medida que novos serviços vão sendo instalados, novas opções vão sendo adicionadas ao Visualizador de eventos. Por exemplo, ao instalar o DNS em um servidor Windows Server 2003 ou Windows Server 2008, uma opção DNS é adicionada ao Visualizador de eventos, entrada essa que trata de eventos relacionados com o serviço de DNS. No Windows 7 também pode acontecer de novas opções serem adicionadas ao Visualizador de eventos, à medida que novos serviços e aplicativos são instalados.

• Categoria Logs de Aplicativos e Serviços: As opções de logs disponíveis nesta categoria irão depender dos aplicativos instalados no seu computador. A seguir relaciono algumas opções normalmente presentes:
• Antivírus
• Eventos de Hardware
• Internet Explorer
• Key Management Service
• Media Center
• Microsoft -> Windows: Neste log existem dezenas de outras opções de logs, relacionados com os diversos serviços e componentes do Windows 7.
• Microsoft Office Alerts
• Microsoft Office Diagnostics
• Microsoft Office Sessions
• Windows PowerShell

Cabe aqui salientar que o principal objetivo da existência de um sistema de Auditoria/Monitoramento é manter um acompanhamento de tudo o que está acontecendo no sistema. Quando algum problema acontece, como por exemplo, um serviço que deixa de funcionar, o primeiro lugar em que vamos em busca de informação é no log do sistema. Informações importantes sobre segurança podem ser encontrados no log de Segurança.

No Visualizador de eventos, podemos ter cinco tipos distintos de eventos, conforme descritos abaixo:

• Erro: Representado por um círculo vermelho com um sinal de exclamação branco. Indica um problema sério tal como perda de dados ou de alguma funcionalidade de um serviço ou dispositivo que não está operando corretamente. Por exemplo, se um serviço falhar durante a inicialização, um evento de erro será logado.
• Aviso: Representado por um triângulo amarelo com um ponto de exclamação. Um evento que não é necessariamente um erro, mas pode representar um problema futuro. Por exemplo, quando o espaço livre em disco estiver abaixo de um determinado percentual do espaço total, um aviso será gravado no log.
• Informações: Representado por um círculo branco, com um ponto de exclamação azul dentro. Descreve uma operação de sucesso de uma aplicação, driver ou serviço. Por exemplo, quando um driver de rede é carregado com sucesso, um evento de informação é logado.  Na Figura 11.11, podemos ver uma tela onde aparecem os três tipos de eventos descritos anteriormente.
• Auditoria com êxito: Representado por uma chave amarela. Evento gravado no log Segurança. Indica o evento de um acesso com sucesso. Por exemplo, se configuramos para que fossem auditadas as tentativas de logon com sucesso, esse evento pode indicar um usuário que fez o logon com sucesso.
• Auditoria sem êxito: Representado por um cadeado amarelo. Evento gravado no log Segurança. Indica o evento de um acesso sem sucesso. Por exemplo, se configuramos para que fossem auditadas as tentativas de logon sem sucesso, esse evento pode indicar um usuário que não conseguiu efetuar o logon. Na Figura 11.12, podemos ver um exemplo dos dois tipos de eventos de segurança: Auditoria com êxito e Auditoria sem êxito.

Figura 11.11 – Os eventos de Erro, Aviso e Informações.