Monitoreo de cambios de Active Directory

Monitoreo de cambios de AD con ADAudit Plus

¿Qué es el monitoreo de cambio de AD?

AD es la autoridad central para la identidad y el acceso en la mayoría de los entornos de Windows. Cada cuenta de usuario, membresía de grupo, configuración de política de grupo y asignación de permisos fluye a través de ella, por lo que cualquier cambio no autorizado o accidental puede tener consecuencias inmediatas para la seguridad y las operaciones. Monitorear esos cambios en tiempo real es la única forma confiable de mantener una imagen precisa de quién tiene acceso a qué y detectar problemas antes de que se propaguen.

ADAudit Plus le brinda visibilidad en tiempo real de cada evento de cambio de AD, capturando el contexto completo de cada acción: el objeto modificado, el atributo afectado, el usuario que realizó el cambio, el controlador de dominio (DC) que lo registró y la máquina de origen. Ese nivel de detalle está disponible en todos los principales tipos de objetos AD, desde la gestión de usuarios y grupos hasta los GPO, los permisos, el DNS y el esquema.

Cambios clave en los monitores ADAudit Plus en AD

Seguimiento de cambios en todos los objetos AD

ADAudit Plus captura los cambios en toda la gama de objetos AD a través de informes preconfigurados, cada uno estructurado en torno al quién-qué-cuándo-dónde del cambio en lugar de entradas de registro de eventos sin procesar. Cada informe muestra la identidad de la persona que llama, el DC que registró el evento, la máquina de origen y la hora exacta.

• Realice un seguimiento de los cambios en los usuarios, incluido cada restablecimiento de contraseña junto con la identidad del administrador que lo inició.
• Capture los cambios de membresía de grupo en todos los grupos de seguridad con la identidad de la persona que llama y la máquina de origen.
• Realice un seguimiento de los eventos de creación, eliminación y movimiento de OU, además de adiciones, modificaciones y eliminaciones de registros DNS.
• Detectar cambios en el esquema y el rol de FSMO, que afectan a todo el bosque y deben estar estrictamente controlados.

 

 

Realice un seguimiento de los cambios en los atributos de la cuenta de usuario con visibilidad completa del nombre del atributo modificado, los valores anteriores y actualizados, el usuario que inició el cambio y la hora exacta de la modificación.

Política del grupo de auditoría y cambios en el permiso

Los GPO controlan la configuración de seguridad, la implementación de software y las configuraciones de acceso en cada máquina del dominio. Un solo cambio no autorizado de GPO puede debilitar los requisitos de contraseña, relajar los umbrales de bloqueo o eliminar las restricciones de seguridad en miles de puntos finales a la vez. ADAudit Plus captura cada cambio de GPO tanto a nivel de objeto como a nivel de configuración, con cambios de permiso rastreados a la misma profundidad.

• Capture la creación, eliminación y enlace de GPO con la identidad y la máquina de origen de quien los haya hecho.
• Realice un seguimiento de los cambios en la política de contraseñas, la política de bloqueo de la cuenta y la configuración de seguridad dentro de los GPO, con valores de antes y después.
• Supervise los cambios de permiso a nivel de dominio, OU, GPO, usuario, grupo y computadora.
• Rastrear los cambios de permiso de AdminSDHolder como un evento distinto y con nombre, porque cualquier modificación se propaga silenciosamente a las cuentas protegidas.
• Escanee DC, servidores Windows y estaciones de trabajo contra más de 350 configuraciones de referencia predefinidas para identificar configuraciones erróneas de GPO y posibles puntos de exposición en todo el entorno.

 

 

Obtenga una vista detallada y de un vistazo de la exposición al riesgo basada en GPO en múltiples sistemas para identificar rápidamente los puntos finales más vulnerables en su dominio.

Monitorear la actividad privilegiada del usuario

Los administradores de dominio, los administradores empresariales y los administradores de esquemas tienen acceso a cada parte de su entorno de AD. Su actividad es el área de auditoría de mayor prioridad en la mayoría de los marcos de seguridad, y también donde los cambios no autorizados o accidentales conllevan el mayor riesgo.

ADAudit Plus mantiene un seguimiento de auditoría consolidado de cada acción tomada por cuentas privilegiadas en todos los tipos de objetos AD: gestión de usuarios, cambios de grupo, modificaciones de GPO, asignaciones de permisos y actualizaciones de esquemas.

• Revise los cambios de cuenta privilegiada en una pista de auditoría centralizada.
• Realice un seguimiento de la actividad de Schema Admin, que debería ser rara y estrictamente controlada en entornos AD saludables.
• Detecte la actividad de la cuenta privilegiada que se produce fuera del horario comercial normal utilizando la detección de anomalías impulsada por UBA.

 

 

Realice un seguimiento de los cambios realizados por usuarios privilegiados en objetos de AD, incluidos usuarios, grupos, ordenadores, OU y más.

Detecta anomalías con UBA y amenazas con Attack Surface Analyzer

El analizador de superficie de ataque detecta más de 25 ataques AD nombrados en tiempo real, incluidos ataques de fuerza bruta, ataques Golden Ticket, DCSync, secuestro RID y más.

El análisis del comportamiento del usuario (UBA) utiliza el aprendizaje automático para establecer una línea de base de comportamiento para cada usuario mediante el análisis de patrones como los tiempos de inicio de sesión típicos, los sistemas de acceso común, el comportamiento de autenticación y la frecuencia y el tiempo de las acciones administrativas. Las desviaciones de esta línea de base se identifican automáticamente y aparecen en la pestaña Analytics sin requerir una configuración manual del umbral.

• El volumen inusual de fallos de inicio de sesión detecta picos anormales en los intentos de autenticación fallidos en comparación con la actividad normal de un usuario, lo que ayuda a identificar posibles ataques de fuerza bruta o credenciales comprometidas.
• El volumen inusual de actividad de gestión de usuarios marca aumentos inesperados en la creación, modificación o actividad de eliminación de cuentas realizadas por los administradores, ayudando a detectar comportamientos administrativos sospechosos.
• El volumen inusual de actividad de archivos y el volumen inusual de eliminaciones de archivos identifican los picos en las operaciones de archivo que exceden las líneas de base establecidas de los usuarios, lo que ayuda a descubrir posibles actividades de ransomware o intentos de exfiltración de datos antes de que ocurran daños significativos.

Reciba alertas en tiempo real sobre cambios críticos de AD

Los informes de auditoría te dicen lo que pasó. Las alertas te dicen lo que está sucediendo ahora, antes de que el impacto se extienda. ADAudit Plus se envía con perfiles de alerta preconfigurados que cubren los eventos de cambio de AD más críticos, todos los cuales puede ajustar para que coincidan con la tolerancia al riesgo de su entorno.

Cada alerta envía una notificación por correo electrónico y SMS al equipo responsable. Cuando se activa una alerta configurada, ADAudit Plus puede crear automáticamente un ticket en ServiceNow, Jira u otra plataforma ITSM conectada, por lo que el flujo de trabajo de respuesta comienza sin entrega manual.

• Cuando se modifica una política de dominio, su equipo es notificado inmediatamente, por lo que los cambios no autorizados en las líneas de base de seguridad se detectan antes de que afecten al entorno.
• Cuando se agrega un usuario a un grupo privilegiado como administradores de dominio, se activa una alerta en tiempo real, dando a su equipo la ventana para verificar si el cambio fue autorizado.
• Cuando se borra el registro de auditoría de seguridad en cualquier DC, se le alerta de inmediato, porque la eliminación de registros es uno de los indicadores más claros de un intento de compromiso activo.

Cumplir con los requisitos de cumplimiento con informes listos para la auditoría

SOX, HIPAA, PCI-DSS, FISMA, GLBA, GDPR e ISO 27001 requieren pruebas documentadas de que se supervisa el acceso a los sistemas críticos, que se rastrean los cambios y que se conservan los registros de auditoría. ADAudit Plus se envía con informes de cumplimiento preconfigurados para los siete estándares, asignados a los controles específicos que requiere cada marco.

Cuando los informes estándar no se ajustan al alcance de su auditoría, los perfiles de informes personalizados le permiten combinar usuarios específicos, acciones de auditoría, tipos de objetos y rangos de tiempo en vistas guardadas que se pueden programar para la entrega automática a auditores y oficiales de cumplimiento. Cada informe se exporta a CSV, PDF, HTML o XLSX.

Por qué las herramientas nativas se quedaron cortas

Los registros de eventos de seguridad de Windows registran eventos de cambio de AD, pero trabajar con ellos de forma nativa crea tres lagunas significativas.

• En primer lugar, los registros se almacenan localmente en cada DC. En un entorno multi-DC, correlacionar eventos en todos ellos requiere recopilación manual o scripting, y ese proceso no está listo para la auditoría por defecto.
• En segundo lugar, el formato de registro de eventos sin procesar no está diseñado para la investigación. El evento de seguridad 4738 le dice que se cambió una cuenta de usuario; no presenta los valores de los atributos antes y después en un formato legible sin un procesamiento posterior significativo.
• En tercer lugar, la retención está limitada por el tamaño del registro configurado. Una vez que el registro de seguridad se llena y sobrescribe eventos más antiguos, ese registro histórico desaparece a menos que se establezca un proceso de archivo separado.

ADAudit Plus centraliza la recopilación de eventos de todos los DC, traduce los datos de eventos sin procesar en informes estructurados y de búsqueda con valores de antes y después, y conserva los datos de auditoría de acuerdo con sus requisitos de cumplimiento, sin scripts manuales o sobrecargas de gestión de registros.