Cómo detectar cambios en la cuenta de usuario en Active Directory
El seguimiento de los cambios en las cuentas de usuario en Active Directory es principalmente importante por consideraciones relacionadas con el cumplimiento y la seguridad y también por motivos de eficiencia operativa. Cuentas de usuario inactivas o una gran cantidad de cuentas nuevas con permisos extendidos, cuentas de usuario deshabilitadas o modificadas sospechosamente: todos estos problemas pueden afectar la productividad y la seguridad de la red, sin mencionar que esto afecta el cumplimiento.
En primer lugar, auditar los cambios en las cuentas de usuario en Active Direcory puede ayudar a validar el cumplimiento de las bases de seguridad de la organización y encontrar vulnerabilidades potenciales para evitar problemas de seguridad.
La supervisión de las cuentas de usuario en busca de infracciones de las políticas de cumplimiento permite ver si se producen irregularidades y remediarlas para estar preparados para la auditoría de cumplimiento.
Audite los cambios accidentales o maliciosos en las Cuentas de Usuario, incluidas las cuentas creadas, eliminadas, habilitadas o deshabilitadas, para evitar interrupciones en la disponibilidad continua de los servicios de TI y establecer la continuidad del negocio.
Entonces, comparemos dos formas en que se pueden detectar los cambios en la cuenta de usuario.
Auditoría nativa
1. Habilite las políticas de auditoría en el GPO de política de seguridad del controlador de dominio predeterminado. Habilite la política de auditoría "Auditar la gestión de cuentas de usuario".
2. Busque el ID de evento 4720 (creación de cuenta de usuario), 4722 (cuenta de usuario habilitada), 4725 (cuenta de usuario deshabilitada), 4726 (cuenta de usuario eliminada) y 4738 (cuenta de usuario modificada).
3. Tenga en cuenta que cuando crea inicialmente una cuenta de usuario, AD crea la cuenta como deshabilitada, realiza varias actualizaciones iniciales y luego la habilita inmediatamente. Por lo tanto, siempre verá una aparición algo falsa de 4722 asociada con cada nueva cuenta creada.
Netwrix Auditor para Active Directory
Simplemente obtenga la información sobre todos los cambios en su Informe de cambios programados en cuentas de usuario.
¡No se pierda los casos prácticos de la vida real para detectar cambios en cuentas de usuario en Active Directory!
También te puede interesar:
- Protección de Active Directory: mejores prácticas >>