Comment surveiller les activités des utilisateurs privilégiés ?

Avec l'audit natif, voici comment vous pouvez suivre les activités des utilisateurs privilégiés :

• Étape 1 : Identifier les comptes d'utilisateurs privilégiés.

• • Si un membre répond à l'un des critères mentionnés ci-dessous, il peut être identifié comme un utilisateur privilégié.
    1. Les utilisateurs/groupes qui sont membres d'un groupe administratif.
    2. Utilisateurs/groupes ayant reçu des privilèges administratifs par l'intermédiaire de leur unité organisationnelle.
    3. Les comptes d'utilisateurs locaux et les comptes de service qui peuvent avoir reçu des privilèges administratifs localement sur les contrôleurs de domaine.
    4. Utilisateurs ayant reçu des privilèges pour réinitialiser les mots de passe et déverrouiller les comptes d'autres utilisateurs.
    5. Utilisateurs disposant de privilèges administratifs leur permettant d'accéder aux comptes de service.
    6. Utilisateurs ayant un accès en écriture aux objets de stratégie de groupe liés aux contrôleurs de domaine.

Vous pouvez dresser la liste de tous les utilisateurs privilégiés en utilisant Utilisateurs et ordinateurs Active Directory et la console de gestion des stratégies de groupe.

Pour découvrir d'autres comptes d'utilisateurs privilégiés, vous devrez peut-être aussi exécuter des scripts personnalisés. Par exemple, tout membre d'un groupe administratif est un utilisateur privilégié.

• Étape 2 : Activation des stratégies d'audit requises

• Lancez le Gestionnaire de serveur dans votre instance Windows Server.

• Sous Gérer, sélectionnez Gestion des stratégies de groupe et lancez la console de gestion des stratégies de groupe.

• Allez dans la forêt ➔ Domaine ➔ Votre domaine ➔ Contrôleurs de domaine.

• Créez un nouveau GPO et liez-le au domaine contenant l'objet utilisateur, ou modifiez un GPO existant lié au domaine pour ouvrir l'Éditeur de gestion de stratégie de groupe.

• Allez dans Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Stratégies locales → Stratégie d'audit.

• La stratégie d'audit répertorie toutes ses sous-stratégies dans le panneau de droite, comme le montre la figure 1.

• Sélectionnez les stratégies que vous souhaitez activer pour les événements de succès et d'échec. En cas de défaillances multiples, l'organisation peut, si nécessaire, mettre en place un protocole de sécurité.

• Cliquez sur Appliquer et OK pour fermer la fenêtre Propriétés.

• 

• Étape 3 : Configuration de la stratégie d'audit avancée

• Lancez le Gestionnaire de serveur dans votre instance Windows Server.

• Sous Gérer, sélectionnez Gestion des stratégies de groupe et lancez la console Gestion des stratégies de groupe.

• Allez dans Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit. . Sélectionnez Stratégies d'audit.

• Forcer les paramètres de sous-catégorie de la stratégie d'audit à remplacer les paramètres de catégorie de la stratégie d'audit dans la stratégie de groupe pour s'assurer que l'audit de base est désactivé.

• 

Décidez des stratégies que vous souhaitez activer et sélectionnez les options Succès et Échec.

• Étape 4 : Affichez les événements à l'aide de l’Observateur d'événements Windows

• • Après avoir activé l'audit, vous pouvez utiliser l’Observateur d'événements pour consulter les journaux et enquêter sur les événements. Suivez les étapes mentionnées ci-dessous :
    1. Cliquez sur Démarrer → Outils administratifs → Observateur d'événements
    2. Cliquez sur Journaux Windows et sélectionnez Sécurité. Vous verrez tous les événements enregistrés dans les journaux de sécurité.
    3. Effectuez une recherche à l'aide de l’option Rechercher pour afficher les événements d'un compte privilégié spécifique ou créez une vue personnalisée pour afficher les événements générés par un utilisateur particulier uniquement.
•