Las 11 mejores prácticas de políticas de auditoría de Windows
Esta es la guía definitiva para la configuración de políticas de seguridad y auditoría de Windows.
En esta guía, compartiré mis consejos para la configuración de políticas de auditoría, configuración de políticas de cuentas y contraseñas, monitoreo de eventos, puntos de referencia y mucho más.
Tabla de contenido:
- ¿Qué es la auditoría de ventanas?
- Utilice la configuración de política de auditoría avanzada
- Configurar la política de auditoría para Active Directory
- Configurar la política de auditoría para estaciones de trabajo y servidores
- Configurar el tamaño del registro de eventos y los ajustes de retención
- Política recomendada de bloqueo de cuentas y contraseñas
- Configuración de política de auditoría recomendada
- Supervise estos eventos en busca de compromisos
- Centralizar registros de eventos
- Puntos de referencia de la política de auditoría
- Planificación de su política de auditoría
¿Qué es la auditoría de Windows?
La auditoría de Windows es un componente importante de la seguridad de Active Directory y ayuda a monitorear la actividad de la red.
Una política de auditoría de Windows define qué tipo de eventos desea realizar un seguimiento en un entorno de Windows. Por ejemplo, cuando se bloquea una cuenta de usuario o un usuario ingresa una contraseña incorrecta, estos eventos generarán una entrada de registro cuando se active la auditoría. Estos registros de auditoría suelen ser analizados por una herramienta de auditoría de AD para detectar rápidamente cualquier actividad maliciosa en la red. Una política de auditoría es importante para mantener la seguridad, detectar incidentes de seguridad y cumplir con los requisitos de cumplimiento.
Utilice la configuración de política de auditoría avanzada
Cuando observe las políticas de auditoría, notará dos secciones, la política de auditoría básica y la política de auditoría avanzada. Cuando sea posible, solo debe utilizar la configuración de la Política de auditoría avanzada ubicada en Configuración de seguridad\Configuración de la política de auditoría avanzada.
La configuración de política de auditoría avanzada se introdujo en Windows Server 2008 y amplió la configuración de política de auditoría de 9 a 53. La configuración de política avanzada le permite definir una política de auditoría más granular y registrar solo los eventos que necesita. Esto es útil porque algunas configuraciones de auditoría generarán una gran cantidad de registros.
Importante: No utilice tanto la configuración básica de la política de auditoría como la configuración avanzada ubicada en Configuración de seguridad\Configuración avanzada de la política de auditoría. El uso de ambos puede causar problemas y no se recomienda.
Microsoft proporciona la siguiente información.
La política de auditoría avanzada tiene las siguientes categorías. Cada categoría contiene un conjunto de políticas.
- Inicio de sesión de cuenta
- Administración de cuentas
- Seguimiento detallado
- Acceso DS
- Iniciar sesión/Cerrar sesión
- Acceso a objetos
- Cambio de política
- Uso de privilegios
- Sistema
- Auditoría de acceso global a objetos
Recursos:
Guía de amenazas y contramedidas: Política de auditoría de seguridad avanzada
Configurar la política de auditoría para Active Directory (para todos los controladores de dominio)
De forma predeterminada, existe una política de auditoría mínima configurada para Active Directory. Deberá modificar la política de controlador de dominio predeterminada o crear una nueva.
Siga estos pasos para habilitar una política de auditoría para Active Directory.
Paso 1: abra la consola de administración de políticas de grupo
Paso 2: editar la política de controladores de dominio predeterminada
Haga clic derecho en la política y seleccione editar
Paso 3: busque la configuración de política de auditoría avanzada
Ahora navegue hasta la Configuración avanzada de la política de auditoría.
Configuración de la computadora -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Configuración de política de auditoría avanzada
Paso 4: definir la configuración de auditoría
Ahora sólo necesita revisar cada categoría de política de auditoría y definir los eventos que desea auditar. Consulte la sección de política de auditoría recomendada para conocer las configuraciones recomendadas.
Configurar la política de auditoría en estaciones de trabajo y servidores
Se recomienda encarecidamente habilitar una política de auditoría en todas las estaciones de trabajo y servidores. La mayoría de los incidentes comienzan en el dispositivo del cliente; si no monitorea estos sistemas, podría perderse información importante.
Para configurar una política de auditoría para estaciones de trabajo y servidores, deberá crear una nueva política de auditoría. Esta será una política de auditoría independiente de la de sus controladores de dominio. No aplicaría esta política a la raíz del dominio; es mejor tener todas las estaciones de trabajo y servidores en una unidad organizativa separada y aplicar la política de auditoría a esta unidad organizativa.
Puedes ver a continuación que tengo una unidad organizativa llamada Computadoras ADPRO. Esta unidad organizativa contiene subunidades organizativas para las estaciones de trabajo del departamento y una unidad organizativa de servidor para todos los servidores. Crearé una nueva política de auditoría en la unidad organizativa de las computadoras ADPRO, esta política se dirigirá a todos los dispositivos en esta carpeta.
Configurar el tamaño del registro de eventos y los ajustes de retención
Es importante definir el tamaño del registro de eventos de seguridad y la configuración de retención. Si estas configuraciones no están definidas, puede sobrescribir y perder datos de auditoría importantes.
Importante: Los registros generados en servidores y estaciones de trabajo a partir de la política de auditoría están destinados a una retención a corto plazo. Para mantener registros de auditoría históricos durante semanas, meses o años, deberá configurar un sistema de registro centralizado. Consulte la sección siguiente para obtener recomendaciones.
En su política de auditoría, puede definir la configuración del registro de eventos en Configuración del equipo -> Políticas -> Configuración de seguridad -> Registro de eventos
Aquí están las configuraciones recomendadas
Tamaño máximo de registro de aplicación
- 4.194.240 (kilobytes)
Tamaño máximo de registro de seguridad
- 4.194.240 (kilobytes)
Tamaño máximo de registro del sistema
- 4.194.240 (kilobytes)
Incluso con la configuración de registro configurada, aún podría sobrescribir eventos en un corto período de tiempo. Todo depende de su política de auditoría y de cuántos usuarios tenga. Si está rastreando intentos de contraseña incorrecta para 2000 usuarios, eso generará muchos más eventos que 20 usuarios.
Recurso:
Configuraciones recomendadas para tamaños de registro de eventos en Windows
Política recomendada de bloqueo de cuentas y contraseñas
Para auditar con éxito las cuentas de usuario, debe asegurarse de tener configuradas la contraseña y la política de bloqueo de cuenta. Si está auditando bloqueos de cuentas pero no tiene establecido un umbral de bloqueo, nunca verá esos eventos.
Estas configuraciones provienen del documento básico de MS Security para Windows 10 y Server 2016.
Política de contraseñas
Ubicación del GPO: Configuración del equipo -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Políticas de cuenta -> Política de contraseñas
Hacer cumplir el historial de contraseñas
- 24
Edad máxima de la contraseña
- 60
Edad mínima de la contraseña
- 1
Longitud mínima de la contraseña
- 14
La clave debe cumplir los requerimientos de complejidad
- Activado
Almacene contraseñas mediante cifrado reversible
- desactivado
Política de bloqueo de cuenta
Ubicación del GPO: Configuración del equipo -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Políticas de cuenta -> Política de bloqueo de cuenta
Duración del bloqueo de cuenta
- 15
Umbral de bloqueo de cuenta
- 10
Restablecer el contador de bloqueo después
- 15
Recurso:
Kit de herramientas de cumplimiento de seguridad de Microsoft
Configuración de política de auditoría recomendada
Estas configuraciones provienen del documento básico de MS Security para Windows 10 y Server 2016.
Configuración recomendada de la política de auditoría y seguridad del controlador de dominio.
Ubicación de la política de GPO: Configuración del equipo -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Configuración avanzada de la política de auditoría
Inicio de sesión de cuenta
Validación de credenciales de auditoría
- Éxito y fracaso
Auditar los servicios de autenticación Kerberos
- No configurado
Auditar las operaciones de tickets del servicio Kerberos
- No configurado
Auditar otros eventos de inicio de sesión de cuenta
- No configurado
Administración de cuentas
Gestión de grupos de aplicaciones de auditoría
- No configurado
Auditoría de gestión de cuentas informáticas
- Éxito
Gestión del Grupo de Distribución de Auditoría
- No configurado
Auditar otros eventos de gestión de cuentas
- Éxito y fracaso
Gestión del grupo de seguridad de auditoría
- Éxito y fracaso
Auditar la gestión de cuentas de usuario
- Éxito y fracaso
Seguimiento detallado
Auditoría de actividad DPAPI
- No configurado
Auditar eventos Plug and Play
- Éxito
Creación de procesos de auditoría
- Éxito
Terminación del proceso de auditoría
- No configurado
Auditar eventos RPC
- No configurado
Derecho de token de auditoría adherido
- No configurado
Acceso DS
Auditar la replicación detallada del servicio de directorio
- No configurado
Acceso al servicio de directorio de auditoría
- Éxito y fracaso
Auditar cambios en el servicio de directorio
- Éxito y fracaso
Auditar la replicación del servicio de directorio
- No configurado
Iniciar sesión/Cerrar sesión
Bloqueo de cuenta de auditoría
- Éxito y fracaso
Auditar reclamaciones de usuarios/dispositivos
- No configurado
Membresía del grupo de auditoría
- Éxito
Auditar el modo extendido IPsec
- No configurado
Auditar el modo principal de IPsec
- No configurado
Cierre de sesión de auditoría
- Éxito
Inicio de sesión de auditoría
- Éxito y fracaso
Auditar el servidor de políticas de red
- No configurado
Auditar otros eventos de inicio y cierre de sesión
- No configurado
Auditoría de inicio de sesión especial
- Éxito
Acceso a objetos
Solicitud de auditoría generada
- No configurado
Servicios de certificación de auditoría
- No configurado
Auditar el recurso compartido de archivos detallado
- No configurado
Compartir archivos de auditoría
- No configurado
Auditar el sistema de archivos
- No configurado
Conexión de la plataforma de filtrado de auditoría
- No configurado
Auditar la caída de paquetes de la plataforma de filtrado
- No configurado
Manipulación del control de auditoría
- No configurado
Auditar objeto kernel
- No configurado
Auditar otros eventos de acceso a objetos
- No configurado
Registro de Auditoría
- No configurado
Auditar almacenamiento extraíble
- Éxito y fracaso
Auditoría SAM
- No configurado
Auditar la puesta en escena de la política de acceso central
- No configurado
Cambio de política
Cambio de política de auditoría de auditoría
- Éxito y fracaso
Cambio de política de autenticación de auditoría
- Éxito
Cambio de política de autorización de auditoría
- Éxito
Cambio de política de plataforma de filtrado de auditoría
- No configurado
Auditar el cambio de política a nivel de regla de MPSSVC
- No configurado
Auditar otros eventos de cambio de políticas
- No configurado
Uso de privilegios
Auditar el uso de privilegios no confidenciales
- No configurado
Auditar otros eventos de uso de privilegios
- No configurado
Auditar el uso de privilegios sensibles
- Éxito y fracaso
Sistema
Auditar el controlador IPsec
- Éxito y fracaso
Auditar otros eventos del sistema
- Éxito y fracaso
Auditoría de cambio de estado de seguridad
- Éxito
Ampliación del sistema de seguridad de auditoría
- Éxito y fracaso
Integridad del sistema de auditoría
- Éxito y fracaso
Auditoría de acceso global a objetos
Sistema de archivos
- No configurado
Registro
- No configurado
Le recomiendo que descargue el kit de herramientas de cumplimiento de seguridad de Microsoft. Tiene un documento de Excel con configuraciones de auditoría y seguridad recomendadas para Windows 10, servidores miembro y controladores de dominio. También creé una lista de verificación de auditoría de AD para obtener una referencia rápida sobre la configuración de la política de auditoría recomendada.
Centralizar registros de eventos de Windows
Cuando habilita una política de seguridad y auditoría en todos los sistemas, esos registros de eventos se almacenan localmente en cada sistema. Cuando necesite investigar un incidente o ejecutar informes de auditoría, deberá revisar cada registro individualmente en cada computadora. Otra preocupación es ¿qué pasa si un sistema falla y no puede acceder a los registros?
y... no olvide que esos registros locales están destinados al almacenamiento a corto plazo. En entornos grandes, esos registros locales se sobrescribirán con nuevos eventos en un corto período de tiempo.
Centralizar sus registros le ahorrará tiempo, garantizará que los registros estén disponibles y facilitará la presentación de informes y la resolución de problemas de incidentes de seguridad. Existen muchas herramientas que pueden centralizar los registros de eventos de Windows.
A continuación se muestra una lista de herramientas gratuitas y premium que centralizarán los registros de eventos de Windows. Algunas de las herramientas gratuitas requieren un poco de trabajo y pueden requerir software adicional para visualizar e informar sobre los registros. Si tiene el presupuesto, le recomiendo una herramienta premium, son mucho más fáciles de configurar y le ahorran mucho tiempo.
- Analizador de registros de SolarWinds (herramienta premium, prueba GRATUITA de 30 días)
- Windows Event Collector (gratis, requiere herramientas adicionales para visualizar e informar sobre datos)
- ManageEngine Audit Plus - (Herramienta premium)
- Splunk: (herramienta premium, una herramienta popular para analizar varios archivos de registro)
- Pila elástica - (Descarga gratuita)
Supervise estos eventos en busca de compromisos
Aquí hay una lista de eventos que debe monitorear y sobre los que debe informar.
- Errores de inicio de sesión: ID de evento 4624, 4771
- Inicios de sesión exitosos: ID de evento 4624
- Fallos debido a contraseñas incorrectas - ID de evento 4625
- Cuenta de usuario bloqueada: ID de evento 4740
- Cuenta de usuario desbloqueada: ID de evento 4767
- Contraseña modificada por el usuario: ID de evento 4723
- Usuario agregado al grupo privilegiado: ID de evento 4728, 4732, 4756
- Miembro agregado a un grupo: ID de evento 4728, 4732, 4756, 4761, 4746, 4751
- Miembro eliminado del grupo: ID de evento 4729, 4733, 4757, 4762, 4747, 4752
- Registro de seguridad borrado: ID de evento 1102
- Eliminado calculado: ID de evento 4743
Puntos de referencia de la política de auditoría
¿Cómo puede saber con seguridad si su política de auditoría se está aplicando a sus sistemas? ¿Cómo se compara su política de auditoría con las mejores prácticas de la industria? En esta sección, le mostraré algunas formas en que puede auditar sus propios sistemas.
Usando auditpol
auditpol es un comando integrado que puede establecer y obtener la política de auditoría en un sistema. Para ver la auditoría actual, ejecute este comando en su computadora local
auditpol /obtener /categoría:*
Puede comparar estas configuraciones con lo establecido en la política de su grupo para verificar que todo esté funcionando.
Kit de herramientas de seguridad de Microsoft
Menciono este kit de herramientas en la sección de configuración recomendada, pero vale la pena mencionarlo nuevamente. Contiene una hoja de cálculo con la configuración de políticas de seguridad y auditoría recomendadas por Microsoft. También incluye configuraciones de GPO, un script para instalar e informes de GPO. Es una excelente referencia para comparar cómo se compara su política de auditoría con las recomendaciones de Microsoft.
Puntos de referencia de la CEI
Los puntos de referencia CIS tienen pautas de configuración para más de 140 sistemas, incluidos navegadores, sistemas operativos y aplicaciones.
Puntos de referencia de la CEI
CEI CAT Pro
CIS proporciona una herramienta que puede verificar automáticamente la configuración de su sistema y compararla con sus puntos de referencia. Este es, con diferencia, el mejor método para probar su política de auditoría frente a los puntos de referencia de la industria. La versión pro requiere membresía, hay una versión gratuita con funciones limitadas.
CIS-CAT Pro
Planificación de su política de auditoría
A continuación se ofrecen algunos consejos para implementar una política de auditoría eficaz.
Identifique sus objetivos de auditoría de Windows
No se limite a habilitar todas las configuraciones de auditoría, comprenda los objetivos generales de seguridad de su organización. Habilitar todas las reglas de auditoría puede generar mucho ruido y hacer que sus esfuerzos de seguridad sean más difíciles de lo que deberían ser.
Conozca su entorno de red
Conocer su red, la arquitectura de Active Directory, el diseño de la unidad organizativa y los grupos de seguridad son fundamentales para una buena política de auditoría. Implementar una política de auditoría para usuarios o activos específicos será un desafío si no comprende su entorno o tiene una agrupación lógica deficiente de sus recursos.
Política de grupo
Lo mejor es implementar su política de auditoría con la política de grupo. La política de grupo le brinda una ubicación centralizada para administrar e implementar su configuración de auditoría para los usuarios y activos dentro del dominio.
¿Cómo obtendrás los datos del evento?
Deberá decidir cómo se revisarán los datos del evento.
- ¿Los datos se guardarán en las computadoras locales?
- ¿Se recopilarán los registros en cada sistema y se colocarán en un sistema de registro centralizado?
Recursos:
Planificación e implementación de políticas de auditoría de seguridad avanzadas