Cómo detectar cambios en unidades organizativas y grupos en Active Directory

Los cambios accidentales o maliciosos en unidades organizativas (OU) y grupos en Active Directory pueden convertirse en un dolor de cabeza para los administradores de TI. Por ejemplo, si se elimina una unidad organizativa que contiene "Cuentas de usuario", los usuarios no podrán iniciar sesión. Podría haber múltiples escenarios como ese...

Este instructivo le mostrará dos formas de detectar cambios en unidades organizativas y grupos en Active Directory y le ayudará a responder oportunamente a los no deseados.

Herramienta de auditoría nativa

1. Ejecute GPMC.msc (url2open.com/gpmc) -> Cree un nuevo GPO y edítelo -> Configuración del equipo -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Política de auditoría:

   • Auditar la gestión de cuentas -> Definir -> Éxito
   • Auditar el acceso al servicio de directorio -> Definir -> Éxito.
     

2. Regrese al nivel de Configuración de seguridad -> Registro de eventos:

   • Tamaño máximo de registro de seguridad -> Definir en 4 GB
   • Método de retención para el registro de seguridad -> Defina sobrescribir eventos según sea necesario.
     
3. Vincular el nuevo GPO: vaya a "Administración de políticas de grupo" -> Haga clic con el botón derecho en el dominio o la unidad organizativa -> Elija Vincular un GPO existente -> Elija el GPO que creó.
   
4. Fuerce la actualización de la política de grupo: en "Administración de políticas de grupo", haga clic derecho en la unidad organizativa definida -> Haga clic en "Actualización de políticas de grupo".
   
5. Abra ADSI Edit (url2open.com/adsi) -> Haga clic derecho en ADSI Edit -> Conectar al contexto de nomenclatura predeterminado -> Haga clic derecho en el objeto DomainDNS con el nombre de su dominio -> Propiedades -> Seguridad (pestaña) -> Avanzado ( Botón) -> Auditoría (pestaña) -> Agregar principal “Todos” -> Escriba “Éxito” -> Se aplica a “Este objeto y objetos descendientes” -> Permisos -> Seleccione todas las casillas de verificación haciendo clic en “Control total”, excepto lo siguiente: Control total, Listar contenidos, Leer todas las propiedades, Leer permisos -> Haga clic en "Aceptar".
   

6. Abra el Visor de eventos y filtre el Registro de seguridad para encontrar los ID de los eventos (Windows Server 2003/2008-2012):

   • 4727, 4731, 4754, 4759, 4744, 4749 - Grupo creado
   • 4728, 4732, 4756, 4761, 4746, 4751 - Miembro agregado a un grupo
   • 4729, 4733, 4757, 4762, 4747, 4752 - Miembro eliminado de un grupo
   • 4730, 4734, 4758, 4748, 4753, 4763 - Grupo eliminado
   • 4735, 4737, 4745, 4750, 4755, 4760 - Grupo cambiado
   • 4662: se realizó una operación en un objeto (Tipo: Acceso al servicio de directorio).

Netwrix Auditor para AD

Netwrix Auditor para Active Directory puede auditar todos los cambios realizados en grupos y unidades organizativas en Active Directory y puede revertir rápidamente modificaciones no autorizadas mediante la restauración de objetos de Active Directory.

Ejecute Netwrix Auditor ->Haga clic en "Buscar" -> Elija "Avanzado" -> Configure los siguientes filtros:

• Sistema auditado=Active Directory
• Tipo de objeto=Grupo
• Tipo de objeto=Unidad organizativa.
  Luego haga clic en “Modificar” y “Buscar”.