Solution d'audit et d'édition de rapports sur les journaux des événements de sécurité Windows en temps réel

Suivi des journaux des événements de sécurité Windows en temps réel

ADAudit Plus est une solution d'audit primée offrant une architecture de journalisation centralisée qui permet aux administrateurs de l'environnement Microsoft Windows d'afficher, de suivre, d'archiver et d'obtenir des alertes en temps réel ainsi que des rapports d'audit complets sur les événements des journaux de sécurité Windows. Le journal de sécurité contient des enregistrements des événements relatifs à la sécurité que définit la stratégie d'audit du système. Les administrateurs peuvent détecter et suivre les actions non autorisées tentées et réussies et résoudre les problèmes. Par exemple, les événements de sécurité englobent les événements d'authentification, d'audit, non autorisés et enregistrés dans les journaux de sécurité des systèmes d'exploitation.

Contrôlez et analysez de manière centralisée les journaux des événements de sécurité pour connaître les modifications dans Windows Active Directory et les serveurs. Suivez les actions des utilisateurs suspectes et garantissez une analyse rapide des causes premières en cas d'incident.

Obtenez des informations complètes en temps réel sur les objets AD (utilisateurs, groupes, GPO, ordinateurs, OU, DNS, schéma, configuration) et les modifications avec plus de 200 rapports détaillés sur les événements et des alertes par e-mail.

Générez des rapports et archivez des données de manière automatisée pour la conformité informatique (les normes HIPAA exigent sept ans de données de journaux, celles PCI cinq ans). Les données des journaux de sécurité peuvent servir à des fins d'examen de sécurité interne et d'analyse réglementaire.

Pourquoi faut-il un suivi des journaux des événements de sécurité Windows ?

L'impératif de respecter des normes de sécurité et de conformité comme SOX, PCI-DSS, FISMA, GLBA ou HIPAA oblige les administrateurs à déployer un processus fiable pour protéger leur réseau contre un accès non autorisé ou des tentatives. Un suivi constant des informations réseau classifiées est crucial pour chaque entreprise, qu'elle doive ou pas respecter des normes. Les journaux des événements de sécurité Windows constituent l'une des sources permettant d'enregistrer et de suivre les tentatives de connexion. Un contrôle manuel de chaque périphérique Windows est pénible, voire impossible, d'où le besoin d'un audit et d'un suivi automatisés des journaux des événements à intervalles réguliers.

Journaux des événements de sécurité Windows critiques qui demandent un audit
4768 / 4771	Connexion aux comptes réussie/échouée
4624 / 4625	Connexion locale réussie/échouée
4647	Déconnexion initiée par l'utilisateur
4778 / 4779	Session des services Terminal Server reconnectée/déconnectée
5136 / 5137	Création/modification/transfert d'objets AD
5139 / 5141	Transfert/suppression d'objets AD
4670	Modification d'autorisations avec les anciens et les nouveaux attributs
4663 / 4659, 4660	Accès/suppression de fichiers

Catégories d'événements des journaux de sécurité Windows Server 2008 enregistrables

Le nombre considérable des événements enregistrables implique que l'analyse des journaux de sécurité peut être une tâche chronophage. Si vous souhaitez vérifier la réussite, l'échec ou pas du tout ce type d'événement, vous devez définir la configuration avancée de la stratégie d'audit (paramètres locaux de sécurité). Vous veillez ainsi à ne collecter que les journaux de sécurité nécessaires à l'audit, ce qui préserve l'espace disque en ne stockant pas des journaux inutiles.

Voici une liste des événements de sécurité dont l'audit est recommandé, qui relèvent de la configuration avancée de la stratégie d'audit : Pour les contrôleurs de domaine | Pour les serveurs de fichiers Windows | Pour les serveurs membres Windows | Pour les postes de travail Windows

La liste qui suit indique les diverses catégories de configuration avancée de la stratégie d'audit
Connexion aux comptes	Documentez les tentatives pour authentifier les données de compte sur un contrôleur de domaine ou un gestionnaire des comptes de sécurité local.
Gestion des comptes	Suivez les modifications apportées aux comptes et aux groupes d'utilisateurs et d'ordinateurs.
Suivi détaillé	Contrôlez l'activité de chaque application et utilisateur sur l'ordinateur.
Accès aux services d'annuaire	Affichez un journal d'audit détaillé des tentatives d'accès et de modification d'objets dans les services de domaine Active Directory.
Connexion/déconnexion	Suivez les tentatives de connexion à un ordinateur interactivement ou via un réseau. Ces événements sont particulièrement utiles pour suivre l'activité des utilisateurs et identifier de possibles attaques contre les ressources réseau.
Accès aux objets	Suivez les tentatives d'accès à des objets ou des types d'objet particuliers sur un réseau ou un ordinateur.
Modification de stratégie	Suivez les modifications et les tentatives pour modifier des stratégies de sécurité importantes sur un système local ou un réseau.
Utilisation de privilèges	Suivez les autorisations accordées sur un réseau à des utilisateurs ou des ordinateurs pour effectuer des tâches précises..
Système	Contrôlez les modifications au niveau système d'un ordinateur qui ne relèvent pas d'autres catégories et ont de possibles incidences sur la sécurité.
Audit global de l'accès aux objets	Les administrateurs peuvent définir des listes de contrôle d'accès système (SACL) par type d'objet pour le système de fichiers ou le registre.

Caractéristiques d'ADAudit Plus pour une solution SIEM efficace

Facilité d’utilisation

Rapports en ligne simples et à gestion centralisée qui s'adressent même aux non-techniciens et alertes pour mieux déterminer l'auteur, la nature, la date et l'origine des actions.

Maintien de la conformité

Obtenez une série donnée de rapports graphiques détaillés pour respecter les exigences de conformité SOX, HIPAA, GLBA, PCI et FISMA. En outre, exportez les résultats aux formats XLS, CSV, PDF et HTML.

Rapports en temps réel

Choisissez parmi les plus de 200 rapports d'audit préconfigurés avec une génération automatisée. Filtrez les résultats avec plus de 50 attributs de recherche et sélectionnez les heures ouvrables, non ouvrables ou toutes.

Alertes en temps réel

Alertes à l'écran en temps réel et envoi par e-mail à votre adresse électronique. Alertes de seuil basées sur l'utilisateur, la date ou le volume pour mieux identifier le problème précisément.

Tableaux de bord

Affichez des informations d'audit courant cruciales dans un seul tableau de bord. Vous pouvez suivre les activités séparément pour Active Directory et les serveurs de fichiers.

Contrôle des utilisateurs

Solution d'audit de la connexion des utilisateurs en temps réel pour suivre leur activité dans l'environnement des serveurs Windows (dates de connexion, historique de connexion, services Terminal Server, etc.).

Active Directory

Suivez en temps réel les modifications d'informations du domaine (utilisateurs, groupes, GPO, ordinateurs, OU, conteneurs, contacts, schéma, configuration, site, DNS et autorisations).

Serveur de fichiers

Suivez les serveurs de fichiers et les clusters de basculement pour documenter les modifications des fichiers (création, modification ou suppression) et des dossiers, l'accès, les partages et les autorisations.

Serveur membre

Suivez chaque modification avec des rapports détaillés : rapport résumé, suivi de processus, modifications de stratégie, événements système, gestion des objets, tâches planifiées, etc.

Postes de travail

Suivez chaque connexion/déconnexion d'un utilisateur et les actions courantes des utilisateurs avec des rapports détaillés sur tous les événements de connexion à des postes de travail du réseau.

NetApp / EMC

Suivez les partages NetApp Filer/CIFS EMC avec des rapports d'audit sur les modifications des fichiers (création, modification ou suppression) et des autorisations.

Archivage de données

Archivez des données à des fins d'analyse réglementaire pendant une durée de trois, cinq ou sept ans ! Obtenez des rapports historiques et économisez de l'espace disque.