Auditoría de Windows explicada

Auditar continuamente la actividad en su red es una de las mejores prácticas de seguridad más críticas, ya que le ayuda a detectar actividades potencialmente maliciosas con suficiente antelación para tomar medidas y evitar filtraciones de datos, tiempo de inactividad del sistema y fallas de cumplimiento. Los principales métodos de auditoría de Windows incluyen:

Registros de eventos y reenvío de registros de eventos
Auditoría y Auditoría Avanzada
Servicios de recopilación de auditorías
Registro de Windows PowerShell

Registros de eventos y reenvío de registros de eventos

Los registros de eventos registran la actividad en una computadora en particular. Cuando configura la auditoría correctamente,

Casi todos los eventos que tienen importancia para la seguridad se registran en el visor de eventos. Esto hace que los registros de eventos sean lo primero que se debe mirar durante las investigaciones de seguridad de TI. Aquí hay dos consejos importantes::

Configure el tamaño del registro de eventos al máximo (4 GB) para minimizar la posibilidad de que los eventos se sobrescriban porque el registro se llena.
Archive sus registros de eventos, de modo que si detecta un ataque, pueda consultar los registros de eventos más antiguos para saber exactamente cuándo y cómo los atacantes pudieron comprometer el sistema.

Reenvío de registros de eventos

También debe sacar los registros de eventos de sus computadoras con regularidad, porque los atacantes a menudo eliminan los registros de eventos para escapar de la detección. La función de reenvío de registros de eventos de Windows le permite reenviar automáticamente registros de eventos desde todas sus computadoras a una máquina designada (el recopilador de eventos) que los almacena todos de forma segura. Hay dos tipos de suscripciones a eventos:

Las suscripciones iniciadas desde el origen le permiten definir una suscripción a eventos en la computadora del recopilador de eventos sin definir las computadoras de origen. Luego usa la Política de grupo para controlar qué computadoras de origen reenvían eventos al recopilador de eventos.
Las suscripciones iniciadas por recopiladores le permiten crear una suscripción de eventos que especifica las computadoras de origen que reenviarán registros de eventos.

Puede obtener más información sobre cómo configurar el reenvío de registros de eventos leyendo este artículo.

Auditoría y Auditoría Avanzada

Las políticas de auditoría le permiten registrar una variedad de actividades en el registro de seguridad de Windows. Luego podrá examinar estos registros de auditoría para identificar problemas que necesiten una mayor investigación. La auditoría de actividades exitosas proporciona documentación de los cambios para que pueda solucionar qué cambios provocaron una falla o una infracción. Los intentos fallidos de registro pueden detectar piratas informáticos malintencionados o usuarios no autorizados para acceder a los recursos empresariales.

Su política de auditoría especifica las categorías de eventos relacionados con la seguridad que desea auditar. Para configurar los ajustes de política, vaya a Política de grupo Configuración de computadora -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Política de auditoría. Estas son las configuraciones básicas y lo que sucede si las activas:

Auditar eventos de inicio de sesión de cuenta: crea un evento cuando un usuario o computadora intenta utilizar una cuenta de Active Directory para autenticarse.
Auditar la gestión de cuentas: audita eventos como la creación, eliminación o modificación de un usuario, grupo o cuenta de computadora y el restablecimiento de las contraseñas de los usuarios.
Auditar el acceso al servicio de directorio: audita los eventos especificados en la lista de control de acceso al sistema, como los permisos.
Auditar eventos de inicio de sesión: crea un evento cuando un usuario inicia sesión en una computadora de forma interactiva (localmente) o a través de la red (remota).
Auditar el acceso a objetos: audita el acceso a objetos como archivos, carpetas, claves de registro e impresoras que tienen sus propias SACL.
Cambio de política de auditoría: audita los cambios en las políticas de asignación de derechos de usuario, las políticas de auditoría y las políticas de confianza.
Uso de privilegios de auditoría: audita los intentos de utilizar permisos o derechos de usuario. Puede elegir si desea auditar los intentos exitosos, los intentos fallidos o ambos.
Seguimiento de procesos de auditoría: audita eventos relacionados con procesos, como la creación y terminación de procesos, la duplicación de controles y el acceso indirecto a objetos.
Auditar eventos del sistema: audita los reinicios y apagados del sistema, y los cambios que afectan el sistema o los registros de seguridad.

Política de auditoría avanzada

Los administradores pueden auditar eventos más específicos utilizando la configuración de política de auditoría avanzada ubicada en Política de grupo Configuración de computadora -> Políticas -> Configuración de Windows -> Configuración de seguridad -> Configuración avanzada de política de auditoría -> Políticas de auditoría. Las siguientes categorías están disponibles:

Inicio de sesión de cuenta: esta configuración controla la auditoría de la validación de credenciales y otros eventos de operación de tickets y autenticación específicos de Kerberos.
Administración de cuentas: estas configuraciones de políticas están relacionadas con la modificación de cuentas de usuario, cuentas de computadora, cambios de membresía de grupo y el registro de eventos de cambio de contraseña.
Seguimiento detallado: estas configuraciones controlan la auditoría de eventos de cifrado, eventos de creación y terminación de procesos de Windows y eventos de llamadas a procedimientos remotos (RPC).
DS Access: esta configuración de política determina si se debe realizar un seguimiento del acceso a AD, los cambios de AD y la replicación.
Inicio de sesión/Cierre de sesión: este grupo de configuraciones controla la auditoría de eventos de inicio y cierre de sesión estándar.
Acceso a objetos: estas configuraciones cubren el acceso a AD, el registro, las aplicaciones y el almacenamiento de archivos.
Cambio de política: esta configuración controla el seguimiento de los cambios en la configuración de políticas.
Uso de privilegios: esta configuración determina si se auditan los intentos de uso de privilegios dentro del entorno de Windows.
Sistema. Esta configuración se utiliza para auditar los cambios en el estado del subsistema de seguridad.
Auditoría global de acceso a objetos. Estas configuraciones sirven para controlar la configuración de SACL para todos los objetos en una o más computadoras.

Puede aprender a configurar correctamente la auditoría de Windows Server leyendo Prácticas recomendadas de políticas de auditoría.

Servicios de recopilación de auditorías

Windows proporciona una herramienta para extraer registros de seguridad de servidores que ejecutan Windows Server a una ubicación centralizada para simplificar la auditoría de seguridad y el análisis de registros: Servicios de recopilación de auditorías (ACS). ACS es una utilidad basada en agente que agrega los registros en una base de datos de Microsoft SQL Server.

De forma predeterminada, cuando se implementa una política de auditoría en una computadora con Windows, esa computadora guarda automáticamente todos los eventos generados por la política de auditoría en su registro de seguridad local. Con ACS, las organizaciones pueden consolidar todos esos registros de seguridad individuales en una base de datos administrada centralmente y luego filtrar y analizar los eventos utilizando las herramientas de análisis e informes de datos en Microsoft SQL Server.

Registro de Windows PowerShell

Los administradores pueden usar Windows PowerShell para habilitar o deshabilitar el registro en el nivel del módulo de Windows PowerShell. De forma predeterminada, todos los registros en Windows PowerShell están deshabilitados. Puede habilitarlo estableciendo la propiedad "LogPipelineExecutionDetails" en "$true"; para desactivarlo nuevamente, establezca la propiedad nuevamente en "$false".

Windows PowerShell también ofrece una función de seguimiento de secuencias de comandos detallada que permite habilitar el seguimiento y análisis detallados del uso de secuencias de comandos de Windows PowerShell en un sistema. Si habilita el seguimiento detallado de secuencias de comandos, Windows PowerShell registra todos los bloques de secuencias de comandos en el registro de eventos de Seguimiento de eventos para Windows (ETW) en la ruta "Microsoft-Windows-PowerShell/Operational".

Resumen

Habilitar la auditoría de Windows es fundamental para investigar incidentes de seguridad, solucionar problemas y optimizar el entorno de TI. Asegúrese de configurarlo según las mejores prácticas para reducir el volumen de datos de registro inútiles.

Las herramientas de terceros pueden mejorar la calidad de la auditoría de Windows y automatizar muchas tareas de auditoría. Por ejemplo, Netwrix Auditor para Windows Server ofrece visibilidad completa de lo que sucede en su entorno de Windows Server.