Come controllare gli eventi di accesso all'account in Active Directory

Passaggi per abilitare il controllo degli eventi di accesso all'account tramite la console Gestione Criteri di gruppo:

1. Premi Start, cerca e apri la Console Gestione Criteri di gruppo oppure esegui il comando gpmc.msc.
   
2. Se desideri controllare tutti i conti nella sezione dominio, clicca con il pulsante destro del mouse sul nome di dominio e clicca su Crea un oggetto Criteri di gruppo in questo dominio e collegalo qui.
3. Se desideri controllare gli account in un'Unità organizzativa (OU), clicca con il pulsante destro del mouse su tale unità organizzativa e quindi clicca su Crea un oggetto Criteri di gruppo in questo dominio e collegalo qui.
   
4. Assegna un nome appropriato all'oggetto Criteri di gruppo (GPO).
5. Clicca con il pulsante destro del mouse sull'oggetto Criteri di gruppo appena creato e scegli Modifica.
   
6. Nell'Editor Gestione Criteri di gruppo, nel riquadro a sinistra, passa a Configurazione computer → Impostazioni di Windows → Impostazioni sicurezza → Configurazione avanzata dei criteri di controllo → Criteri locali → Criteri controllo.
   
7. Nel riquadro di destra, vedrai un elenco di criteri che si trovano sotto Criteri controllo. Clicca due volte su Controlla eventi accesso account e seleziona le caselle Definisci le seguenti impostazioni dei criteri, Operazioni riuscite e Operazioni non riuscite.
   
8. Clicca su Applica e poi su OK.
9. Torna alla Console Gestione Criteri di gruppo e, nel riquadro di sinistra, clicca con il pulsante destro del mouse sull'unità organizzativa o sul dominio a cui è stato collegato l'oggetto Criteri di gruppo, quindi clicca su Aggiornamento criteri di gruppo. Questo passaggio assicura che le nuove impostazioni dei Criteri di gruppo vengano applicate immediatamente, anziché attendere il successivo aggiornamento pianificato.
   

Una volta abilitati questi criteri, gli eventi vengono registrati nel log di sicurezza dei controller di dominio (DC) ogni volta che un accesso viene convalidato dal controller di dominio.

Scopri gli eventi di accesso all'account utilizzando il Visualizzatore eventi

Una volta completati i passaggi precedenti, gli eventi di accesso all'account vengono registrati come registri eventi in vari ID evento. Questi possono essere visualizzati nel Visualizzatore eventi seguendo i passaggi seguenti:

1. Premi Start, cerca Visualizzatore eventi e clicca per aprirlo.
2. Nella finestra Visualizzatore eventi, nel riquadro di sinistra, spostati su Registri di Windows ⟶ Sicurezza.
3. Qui troverai un elenco di tutti gli eventi di sicurezza registrati nel sistema.
   
4. Nel riquadro di destra, sotto Sicurezza, clicca su Filtro registro corrente.
   
5. Nella finestra popup, inserisci l'ID evento* nel campo <Tutti gli ID evento>.

   *Per gli eventi indicati vengono generati i seguenti ID evento:

   ID evento	Sottocategoria	Tipo di evento	Descrizione
   4768	Servizio di autenticazione Kerberos	Successi ed errori	È stato richiesto un ticket di autenticazione Kerberos (TGT)
   4769	Operazioni di controllo del ticket di servizio Kerberos	Successi ed errori	È stato richiesto un ticket di servizio Kerberos
   4776	Convalida delle credenziali	Successi ed errori	Il computer ha tentato di convalidare le credenziali di un account.

   Nota: per impostazione predefinita, vengono controllati solo i tentativi di accesso riusciti. I tentativi non riusciti possono essere controllati abilitandolo in Configurazione avanzata dei criteri di controllo.

6. Clicca su OK. In questo modo verrà visualizzato un elenco delle occorrenze dell'ID evento immesso.
7. Clicca due volte sull'ID evento per visualizzarne le proprietà (descrizione).
   

Come si può notare, ottenere una panoramica completa di tutti gli accessi che si verificano nella rete è impossibile utilizzando il controllo nativo per tenere traccia di ogni evento man mano che si verifica. Un amministratore dovrebbe cercare l'ID evento e visualizzare le proprietà di ciascun evento. Questo è molto poco pratico.

ADAudit Plus monitora l'attività di accesso degli utenti in tempo reale e fornisce report approfonditi. È inoltre possibile ricevere avvisi per attività di accesso insolite e automatizzare una risposta. ADAudit Plus offre tutte queste funzioni e molto altro ancora per salvaguardare Active Directory.