Set-AuditRule

一组有用的访问控制项 (ACE) 的存储库，这些项可以添加到安全对象的系统访问控制列表 (SACL) 的安全描述符中，以监控潜在的敌对活动。 这些条目按特定安全对象（如文件、注册表项和 Active Directory 对象）进行分类。 此外，此项目附带一个 PowerShell 脚本，可帮助您以编程方式大规模设置审核规则。 该脚本还利用 PowerShell 动态参数提供自动完成功能，并直接从访问控制和目录服务类中提供每个标志所需的值。

目标

• 记录有用的审核规则，以监控和检测潜在对手访问特定安全对象的行为
• 加快网络环境中审核规则的开发和部署
• 测试审核规则的数量并与社区分享发现
• 将审核规则映射到对抗性工具
• 了解系统访问控制列表 (SACL)
• 了解 PowerShell 动态参数
• 了解 Microsoft 安全访问控制类

参考

• Access Control Namespace
• Registry Access Control Rights
• Files Access Control Rights
• Well Known Sid Types
• Security Descriptor

作者

• Roberto Rodriguez @Cyb3rWard0g

贡献

如果您有一条认为在您的环境中有用且希望与社区分享的审核规则，用于监控和检测潜在的敌对活动，请随时提交 PR！

许可证: GPL-3.0

Set-AuditRule 的 GNU 通用公共许可证