Búsqueda de sitios web

Cómo detectar cambios en unidades organizativas y grupos en Active Directory

Los cambios accidentales o maliciosos en unidades organizativas (OU) y grupos en Active Directory casi inevitablemente generan problemas a los departamentos de TI. Éstos son algunos de los ejemplos más comunes:

  • si se elimina una unidad organizativa que contiene "Cuentas de usuario", los usuarios no podrán iniciar sesión o experimentarán dificultades para acceder a servicios de TI como correo electrónico, mensajería, SharePoint, etc.;
  • la eliminación de una unidad organizativa que contenga “Cuentas de computadora” puede provocar la imposibilidad de aplicar políticas de grupo debido a cambios de dirección IP;
  • La eliminación de una unidad organizativa que contiene “Impresoras” deja a los usuarios sin la capacidad de usar impresoras y, por lo tanto, aumenta la presión sobre la mesa de ayuda.

Para evitar estas y muchas otras consecuencias negativas, es necesario monitorear periódicamente los cambios en las unidades organizativas y los grupos en Active Directory y responder con prontitud a los no deseados.

A continuación puede encontrar dos formas de configurar el seguimiento de cambios. Incluir uno de ellos en su estrategia de seguridad lo mantendrá al tanto de los cambios no autorizados realizados en las unidades organizativas y grupos de Active Directory.

Auditoría nativa

1. Ejecute GPMC.msc (url2open.com/gpmc) > Haga clic con el botón derecho en “Política de dominio predeterminada” y elija “Editar” > Configuración del equipo > Políticas > Configuración de Windows > Configuración de seguridad > Políticas locales > Política de auditoría:

  • Gestión de cuentas de auditoría > Definir > Éxito
  • Auditar el acceso al servicio de directorio > Definir > Éxito.

2. Regrese al nivel de Configuración de seguridad > Registro de eventos:

  • Tamaño máximo de registro de seguridad > Definir en 1 GB
  • Método de retención para el registro de seguridad > Definir para sobrescribir eventos según sea necesario.

3. Ejecute el comando "gpupdate /force".

4. Abra ADSI Edit (url2open.com/adsi) > Haga clic con el botón derecho en ADSI Edit > Conectarse al contexto de nomenclatura predeterminado > Haga clic con el botón derecho en el objeto DomainDNS con el nombre de su dominio > Propiedades > Seguridad (pestaña) > Avanzado (botón) > Auditoría (Pestaña) > Agregar principal "Todos" > Escriba "Éxito" > Se aplica a "Este objeto y objetos descendientes" > Permisos > Seleccione todas las casillas de verificación haciendo clic en "Control total", excepto lo siguiente: Control total, Lista de contenidos, Lectura todas las propiedades, permisos de lectura > Haga clic en "Aceptar".

5. Abra el Visor de eventos y filtre el Registro de seguridad para encontrar los ID de los eventos (Windows Server 2003/2008-2012):

  • 631, 635, 648, 653, 658, 663/4727, 4731, 4754, 4759, 4744, 4749 - Grupo creado
  • 632, 636, 650, 655, 660, 665/4728, 4732, 4756, 4761, 4746, 4751: miembro agregado a un grupo
  • 633, 637, 651, 656, 661, 666/4729, 4733, 4757, 4762, 4747, 4752 - Miembro eliminado de un grupo
  • 634, 638, 652, 662, 667, 657/4730, 4734, 4758, 4748, 4753, 4763 - Grupo eliminado
  • 639, 641, 649, 654, 659, 664/4735, 4737, 4745, 4750, 4755, 4760 - Grupo cambiado
  • 566/4662: se realizó una operación en un objeto (Tipo: Acceso al servicio de directorio).

Auditor Netwrix para Active Directory

1. Ejecute Netwrix Auditor > Objetos administrados > Su.dominio > Haga clic en "Ejecutar" para recopilar registros (la recopilación de registros se realiza automáticamente según un cronograma específico; aquí es posible que deba hacer clic en el botón "Ejecutar" manualmente para evitar esperar a los siguientes datos programados). colección) > Abrir un correo electrónico recibido después de la recopilación del registro.

Con suerte, esta guía le ayudará a detectar cambios no deseados y a mantener segura una parte tan importante del entorno de TI como Active Directory y aliviar la carga de las auditorías.

Artículos relacionados