Aktivieren der Überwachung am Domänen Controller und protokollierem im Eventlog.

Folgende Schritte ausführen, um bestimmte Ereignisse zu überwachen:

1. Gruppenrichtlinien Management Console starten (Start-Process $env:systemdrive:\windows\system32\gpmc.msc)
2. Default Domain Controllers Policy wählen
3. Rechts Klick Bearbeiten
4. Navigiere zu Computerkonfiguration --> Richtlinien --> Windows Einstellungen --> Sicherheitseinstellungen --> Lokale Richtlinien -->Überwachungsrichtlinie
5. Überwachungsrichtlinie doppelklicken und im rechten Fenster die gewünschten Einstellungen auswählen und konfigurieren
6. Domänen Controller neu starten

Ereignis IDS bei der Kontoverwaltungsüberwachung: (S=Success, F=Fail)

4720 (S): A user account was created.
4722( S): A user account was enabled.
4723 (S, F): An attempt was made to change an account's password.
4724 (S, F): An attempt was made to reset an account's password.
4725 (S): A user account was disabled.
4726 ( S): A user account was deleted.
4738 ( S): A user account was changed.
4740 ( S): A user account was locked out.
4765 (S): SID History was added to an account.
4766 ( F): An attempt to add SID History to an account failed.
4767 (S): A user account was unlocked.
4780 (S): The ACL was set on accounts which are members of administrators groups.
4781 (S): The name of an account was changed.
4794 (S, F): An attempt was made to set the Directory Services Restore Mode administrator password.
4798 (S): A user's local group membership was enumerated.
5376 (S): Credential Manager credentials were backed up.
5377 (S): Credential Manager credentials were restored from a backup.

Quellen: https://docs.microsoft.com/en-us/windows/device-security/auditing/audit-user-account-management

Damit Sicherheitseinträge in der Ereignisanzeige eines Domänen Controllers an einen anderen Server (Collector) wietergeleitet werden können, sind am Domänen Controller einige Einstellungen notwendig:

1. Aktivieren der Überwachungsprotokollierung am DC
2. Computer, der als "Collector" fungiert zur Gruppe der "Ereignisprotokollleser" am DC hinzufügen (Im Beispiel FS01)
   Powershell:
   
   Add-ADGroupMember –identity ‘Ereignisprotokollleser’ –member FS01$
   
   
3. GPO "Default Domain Controllers Policy" bearbeiten um dem "Netzwerkdienst" die nötigen Rechte zum Lesen der Ereignisprotokolle zu geben.
   Wert: O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)
   
   alternativ über:
   
   wevtutil set-log security /ca:’O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;S-1-5-20)’
   

   wevtutil get-log security
   

   Nach Abschluss der Arbeiten wird nun der "Collector-Server" eingerichtet.

WSUS bietet für Windows 10 eine Reihe von Auswahlmöglichkeiten in der Produktkategorie. Im folgenden ein Erklärungsversuch:

1  Windows 10 and later drivers: Treiber für alle Windows 10 Versionen im laufenden Betrieb, nicht aber, im Zuge von Upgrade Szenarien.

2  Windows 10 and later Upgrade & Servicing drivers: Treiber,  die auch bei einem Dynamic Updates zum  Einsatz kommen. Bereiten die aktuelle Windows 10-Version für ein  Upgrade vor

3  Windows 10 Anniversary Update and later Servicing Drivers: Treiber, die nur für die Version 1607 gelten. Es werden keine Treiber für spätere Upgrades angeboten. Für das                 aktuelle Windows 1607 erfolgt eine Treiber Wartung (Windows 10 and later Upgrade & Servicing drivers)

4  Windows 10 Anniversary Update and Later Upgrade & Servicing Drivers: Treiber,  die auch bei einem Dynamic Update zum  Einsatz kommen. Wird bei einem Inplace Upgrade (z.B: von 1607 auf 1703)  benötigt. Es werden auch Treiber für spätere Upgrades angeboten.

Für jede Windows Version gibt es eigene Auswahlmöglichkeiten.

5  Windows 10 Dynamic Update: Beinhaltet Updates, die bei einem Inplace-Upgrades benötigt werden bzw. ein Inplace-Upgrade vorbereiten. (z.B. von 1607 auf 1703)

6  Windows 10 Feature On Demand: entsprich auf einem Windows 10 PC Programme und Features . Das würde bedeuten, dass wenn eine .NET 3.5-Installation auf einem Windows 10-PC erforderlich ist, werden die Dateien vom WSUS geholt.

7  Windows 10 GDR-DU LP: GDR = General Distribution Release, DU=Dynamic Update, LP = Language Packs. Diese Updates werden von der aktuellen Release-Version von Windows 10 während eines dynamischen Updates verwendet (siehe Punkt 5 oben).

8  Windows 10 GDR-DU: Updates die nur verwendet werden, wenn ein dynamisches Update einer GDR Version durchgeführt wird. (siehe Punkt 5 oben)

9  Windows 10 Language Interface Packs: Benutzeroberflächen-Sprachpakete enthalten Windows Benutzeroberflächentext für einen Bereich und bieten optimal in Ländern oder Regionen, in denen zwei Sprachen häufig verwendet werden. LIPs müssen mindestens ein Sprachpaket oder übergeordnete Sprache zu installieren.  Beispielsweise das Katalanisch (ca-ES) Language Interface Pack kann werden nur installiert, wenn eine der folgenden Sprachen installiert ist: Englisch uns (En-US), Großbritannien (En-GB), Spanisch (es-ES) oder Französisch (fr-FR).

10 Windows 10 Language Packs: Sprachpakete enthalten  vollständige Sprachen. 

11 Windows 10 LTSB: nur für Long Term Servicing Branch Version (Enterprise Edition)

12 Windows 10: Dies sind die Standard-Release-Patches, die für alle oder alle Builds von Windows 10 gelten können.

Quellen: http://www.urtech.ca/2016/12/solved-what-do-the-windows-10-product-names-mean-in-wsus/, https://www.pc-howto.com/windows-10-und-wsus-server-2012-produkte-und-klassifizierungen/