Skonsolidowana ścieżka audytu oparta na użytkownikach: Wprowadź nazwę użytkownika i dowiedz się, co użytkownik robił w Active Directory

Co zrobisz, jeśli chcesz dowiedzieć się, jakie zmiany w Active Directory wprowadził pewien technik pomocy technicznej w ciągu tygodnia? Lub wyodrębnić ścieżkę audytu zmian dla określonego użytkownika w ramach dochodzenia w sprawie incydentu bezpieczeństwa?

PowerShell może pomóc, ale z pewnością będzie wymagał dużego wysiłku, aby zaoferować rodzaj widoczności i korelacji wymagany do dochodzenia, co jest dokładnie tym, co ADAudit Plus zawiera w swoim narzędziu wyszukiwania.

ADAudit Plus zapewnia możliwość wyszukiwania, która umożliwia natychmiastowe śledzenie śladów określonego użytkownika w Active Directory. Proste i łatwe w użyciu, wyszukiwanie to wymaga trzech danych wejściowych - nazwy użytkownika, dla której wymagana jest ścieżka audytu, domeny i okresu - i natychmiast zapewnia następujące skonsolidowane podsumowanie:

• Historia obiekt: : podsumowanie zmian konfiguracji danego konta. Na przykład zmiany w uprawnieniach określonego konta lub liczba przypadków jego zablokowania lub ostatnie próby zresetowania hasła
• Historia logowan: : podsumowanie wszystkich rodzajów dostępu, interaktywnego lub zdalnego, przez określone konto.
• Działania: podsumowanie zmian konfiguracji dokonanych przez określone konto na innych obiektach usługi Active Directory w wybranym okresie.

Szczegółowy audyt danych

Każdy szczegół przedstawiony w skonsolidowanym podsumowaniu jest linkiem, który dalej rozwija się w rozbudowany raport. Na przykład, podczas przeglądania wyników aktywności administratora w ciągu tygodnia, można kliknąć, aby otworzyć raport Zmodyfikowane GPO w celu dokładniejszego przyjrzenia się, być może w celu porównania starych i nowych wartości.

Wszystkie cenne informacje w jednym miejscu: Właściwe połączenie informacji dla lepszego dochodzenia

Z punktu widzenia badania incydentów, ta funkcja wyszukiwania łączy wszystkie istotne elementy informacji śledczych, a mianowicie

• Co zostało zrobione z kontem sprawcy (caller username)?
• Jakie zmiany wspomniane konto (caller username) wprowadziło w usłudze Active D
• Historia logowania dla konta (caller username), aby pomóc zidentyfikować komputery, z których dokonał tych zmian, a także zidentyfikować wszelkie inne dostępy do komputera

Po połączeniu i przeanalizowaniu, takie informacje zapewniają lepszy kontekst, umożliwiając tym samym łatwe „połączenie kropek” lub nawet skierowanie śledztwa we właściwym kierunku. Przykładowo załóżmy, że podejrzewasz, że użytkownik A manipulował Active Directory. Używasz wyszukiwania śladu audytu, aby zbadać sprawę.

• Wynik ujawnia, że użytkownik A uzyskał dostęp do Active Directory z komputera X, utworzył w Active Directory nowe konto użytkownika, a następnie je usuną
• Następnie używasz wyszukiwania, aby śledzić działania usuniętego konta. Wyniki sumują się i można je interpretować w następujący sposób

Taki potencjał daje usługa Consolidated Audit Trail w ramach ADAudit Plus.