Consejo de seguridad: detectar cambios de permisos en Active Directory

En este consejo, le mostraré cómo habilitar la auditoría de cambios en los permisos en los objetos de Active Directory. Los siguientes cambios registrarán el ID de evento 5136 cada vez que alguien delega o cambia permisos en un objeto en Active Directory.

El primer paso es habilitar la auditoría de los cambios del servicio de directorio en los controladores de dominio, lo que puede hacer modificando el objeto de política de grupo (GPO) de la política de controladores de dominio predeterminada.

• Inicie sesión en un servidor o estación de trabajo, donde están instaladas las herramientas de administración remota del servidor (RSAT), con una cuenta que tenga privilegios de administrador de dominio.
• Abra la Gestión de políticas de grupo. Si está trabajando en un servidor Windows, la administración de políticas de grupo se puede encontrar en el menú Herramientas del Administrador del servidor.
• En Administración de políticas de grupo, expanda su bosque de AD, Dominios, su dominio y luego la Unidad organizativa (OU) Controladores de dominio.
• Haga clic derecho en el GPO Política de controladores de dominio predeterminada y seleccione Editar en el menú.
• En la ventana Editor de administración de políticas de grupo, en el panel izquierdo bajo Configuración del equipo, expanda Políticas > Configuración de Windows > Configuración de política avanzada y haga clic en DS Access.

• Haga doble clic en Auditar cambios en el servicio de directorio a la derecha.
• En el cuadro de diálogo Propiedades de la pestaña Política, marque Configurar los siguientes eventos de auditoría y marque tanto Éxito como < fuerte>Fracaso. Haga clic en Aceptar.
• Cierre el Editor de administración de políticas de grupo

Ahora agreguemos una lista de control de acceso al sistema (SACL) al dominio para auditar los permisos modificados.

• Abra Usuarios y computadoras de Active Directory (ADUC).
• Abra el menú Ver y asegúrese de que Funciones avanzadas esté marcada a la izquierda. De lo contrario, haga clic en Funciones avanzadas para activarlo.
• En el panel izquierdo, haga clic derecho en su dominio AD y seleccione Propiedades en el menú.
• En el cuadro de diálogo Propiedades, cambie a la pestaña Seguridad y haga clic en Avanzado.
• En el cuadro de diálogo Configuración de seguridad avanzada, cambie a la pestaña Auditoría y haga clic en Agregar.
• En el cuadro de diálogo Entrada de auditoría, haga clic en Seleccionar un principal, escriba todos en Ingrese el nombre del objeto para seleccione en el cuadro de diálogo Seleccionar usuario, computadora, cuenta de servicio o grupo y haga clic en Aceptar.
• En el cuadro de diálogo Entrada de auditoría, asegúrese de que Tipo: esté configurado en Éxito y que Se aplica a: esté configurado a Este objeto y todos los objetos descendientes.

• En Permisos, asegúrese de que Modificar permisos sea la única opción seleccionada y haga clic en Aceptar.
• En los cuadros de diálogo Configuración de seguridad avanzada y Propiedades del dominio, haga clic en Aceptar.
• Cerrar ADUC.

Para demostrar que ahora se registran los cambios de permisos, delegé permisos (mediante el asistente de delegación de control integrado en ADUC en el contenedor Usuario en AD) a un grupo llamado Helpdesk para que los miembros puedan restablecer las contraseñas de los usuarios. Para obtener una lista de eventos de seguridad, inicié sesión en un controlador de dominio y ejecuté el siguiente comando en PowerShell:

Seguridad Get-EventLog: los 10 más recientes | Donde-Objeto {$_.EventID -eq 5136} |
Formato-Lista

Como puede ver en la captura de pantalla, la cuenta de Administrador realizó un cambio en los permisos en el contenedor Usuarios y se proporciona el valor del nuevo descriptor de seguridad (SDDL), aunque en un formato bastante ilegible. .