Auditoría de Escalación de Privilegios en MS Teams y SharePoint Online

Netwrix Auditor para SharePoint

• Ejecute Netwrix Auditor → Vaya a “Buscar” → Haga clic en “Modo avanzado” si no está seleccionado.
• Configure los siguientes filtros:
  • Filter = “Fuente de datos”
    Operator = “Igual a”
    Value = “SharePoint Online”
  • Filter = “Detalles”
    Operator = “Contiene”
    Value = “Miembros”
  • Filter = “Detalles”
    Operator = “Contiene”
    Value = “Permisos”
  • Filtro = “Qué”
    Operador = “No contiene”
    Valor = “ Miembros”
  • Filter = “Qué”
    Operator = “No contiene”
    Value = “ Visitors”

• Haga clic en Search y revise su informe:
  Notas sobre el contenido del informe:
  • En casos en que los permisos fueron asignados directamente, los detalles debajo del UPN del actor en la columna “Quién” comenzarán con “Permissions:” y los permisos otorgados se especificarán dentro de comillas.
  • En los casos en los que un usuario fue agregado a un grupo, los detalles comenzarán con “Members:” y el nombre del grupo se proporciona en la columna “What”.
• Para refinar aún más los resultados de su búsqueda, puede excluir grupos, sitios o actores específicos eligiendo la línea no deseada en los resultados y haciendo clic en el botón Exclude from search en el panel de Detalles y seleccionando el resultado que desea excluir.

Aprenda más sobre Netwrix Auditor for SharePoint

Solución nativa

• Abra el panel de Security & Compliance de Office 365.
• Ir a Search -> búsqueda de registros de auditoría.
• En los filtros de Actividades, elija “Archivo, carpeta o sitio compartido” y “Archivo, carpeta o sitio no compartido”.
• Haga clic en Buscar.
  Los resultados de la búsqueda mostrarán los siguientes eventos: otorgamiento directo de derechos de acceso, añadir un usuario a un grupo, cambiar los derechos de un grupo. La tabla de salida incluirá los siguientes detalles básicos:
  • Usuario — El nombre del usuario que realizó la acción
  • Artículo — La URL del sitio de SharePoint o del Equipo donde se realizó el cambio
  • Detalle — El usuario o grupo al que se aplicó el cambio

• Para determinar si se produjo una escalada de privilegios, tendrás que investigar más a fondo. Una opción es expandir el evento y revisar la información haciendo clic en evento y navegando por la pestaña de Detalles. Dependiendo de la actividad, necesitarás buscar la siguiente información:
  • Si se agregó a un usuario a un grupo con permisos de Control total:

EventData: <Agregado al grupo> mostrará el nombre del grupo al cual se añadió al usuario.
(Tenga en cuenta que, por defecto, el grupo con permisos de Control Total para un sitio o equipo se denomina “[SiteName] Owners”.)

• Si se otorgaron derechos directamente a un usuario: EventData: <Permissions granted> le mostrará los permisos otorgados. Su máxima prioridad es mantener un seguimiento de los usuarios a los que se les otorga Control total.

Sin embargo, las capacidades del filtro de búsqueda del registro de auditoría son bastante simples y no te permiten excluir resultados irrelevantes, por lo que con este método, tienes que hacer clic en cada evento individualmente. Una forma alternativa de encontrar la escalada de privilegios es analizar los datos en Excel:

• Exporte los resultados de su búsqueda a CSV haciendo clic en Export Results -> Download all results.
• Abra un libro de trabajo en blanco ->En la pestaña Data en la sección Get & Transform Data, haga clic en From Text/CSV -> Abra el archivo CSV que descargó -> Haga clic en Transform Data.
• En el Query Editor, haga clic derecho en el título de la columna AuditData -> Haga clic en Transform -> Elija JSON.
• En la esquina superior derecha de la columna AuditData, haga clic en el ícono de expandir -> Haga clic en Cargar más -> Deseleccione las propiedades que no desea incluir -> Haga clic en OK.
  
  La tabla resultante incluirá la siguiente información:
  • AuditData.CreationTime — La marca de tiempo del evento
  • AuditData.ClientIP — La dirección IP desde la cual se realizó el evento
  • AuditData.UserId — El nombre del usuario que realizó la acción
  • AuditData.EventData — La acción realizada
  • AuditData.SiteUrl — La URL del sitio de SharePoint o del equipo donde se realizó el cambio
  • AuditData.TargetUserOrGroupName — El usuario o grupo al que se aplicó el cambio

Manténgase al tanto de la escalada de privilegios para bloquear a los actores de amenazas antes de que causen daños

SharePoint Online y Microsoft Teams permiten niveles sin precedentes de colaboración y compartición de archivos. Los usuarios pueden invitar a cualquier persona con una dirección de correo electrónico para unirse a un sitio o equipo, incluyendo no solo a colegas internos sino también a usuarios externos como clientes, proveedores y contratistas, sin ninguna ayuda del personal de TI.

Este modelo de autoservicio es conveniente para los usuarios, pero claramente requiere que los equipos de TI mejoren sus estrategias de control de acceso. Necesitas mantener un seguimiento cercano de quién obtiene acceso a tu entorno y ser capaz de detectar rápidamente cualquier escalada de permisos, como un usuario que se añade a un grupo de propietarios o a alguien que se le otorgan permisos de Control Total para un equipo o sitio. Por ejemplo, si a un usuario externo se le otorga Control Total sobre un sitio o equipo, esto es una amenaza directa para tu entorno, ya que pueden hacer lo que quieran en el sitio o equipo, incluyendo ver o eliminar los datos almacenados allí. Para un usuario interno, la escalada de privilegios puede ser una señal de intención maliciosa o compromiso de cuenta.

Con las herramientas nativas, es difícil obtener la perspectiva que necesitas para identificar y bloquear estas amenazas. El registro de auditoría de Office 365 registra los cambios en la membresía de grupos y permisos, pero no hay una manera fácil de seguir estas actividades — para revisar los detalles, tienes que examinar meticulosamente cada evento o descargar los datos en un archivo CSV y analizarlos allí.

Netwrix Auditor elimina la necesidad de gastar su valioso tiempo revisando meticulosamente una montaña de entradas de registros de eventos. Con su búsqueda interactiva, puede ajustar fácilmente sus parámetros de búsqueda y enfocarse rápidamente en los eventos relevantes. Además, obtendrá todos los detalles clave de inmediato, incluyendo quién recibió nuevos permisos y si la escalada de privilegios fue el resultado de un cambio en la membresía de un grupo o una asignación directa.

Además, puede guardar fácilmente su configuración de búsqueda como un informe personalizado al que puede suscribirse, o utilizarla para crear una alerta. De esa manera, puede mantenerse fácilmente al tanto de los eventos de escalada de privilegios en sus entornos de MS Teams y SharePoint Online.