Cómo encontrar cambios de permisos en servidores de archivos

Netwrix Auditor para Servidores de Archivos de Windows

• Ejecute Netwrix Auditor → Vaya a “Informes” → Despliegue la sección “Servidores de Archivos” → Acceda a “Actividad de Servidores de Archivos” → Seleccione “Cambios de Permisos” → Haga clic en “Ver”.

• Para guardar el informe, haga clic en el botón "Exportar" → Elija un formato del menú desplegable → Haga clic en “Guardar”.
• Para recibir el informe regularmente por correo electrónico, haga clic en el botón “Suscribirse” y elija el horario que prefiera.

Aprende más sobre Netwrix Auditor para Servidores de Archivos de Windows

Auditoría Nativa

• Navegue hasta el recurso compartido de archivos requerido → Haga clic derecho y seleccione "Propiedades" → Vaya a la pestaña "Seguridad" → Haga clic en el botón "Avanzado" → Vaya a la pestaña "Auditoría" → Haga clic en el botón "Agregar" → Seleccione lo siguiente:
  • Principal: "Todos"
  • Tipo: "Todo"
  • Aplica a: "Esta carpeta, subcarpetas y archivos"
  • Permisos avanzados: "Eliminar subcarpetas y archivos" y "Eliminar"
• Ejecute gpedit.msc → Cree y edite una nueva GPO → Vaya a “Configuración del equipo” → Abra “Políticas” → Navegue hasta “Configuración de Windows” → Seleccione “Configuración de seguridad” → Vaya a “Políticas locales” → Seleccione “Política de auditoría” → Bajo “Acceso a objetos de auditoría”, seleccione las casillas de “Éxito” y “Fallo”.
• Vaya a "Configuración de Política de Auditoría Avanzada" → Seleccione “Políticas de Auditoría” → Elija “Acceso a Objetos” → Bajo “Auditar Sistema de Archivos”, seleccione las casillas de “Éxito” y “Fracaso” → Bajo “Auditar Manipulación de Identificadores”, seleccione las casillas de “Éxito” y “Fracaso”.
• Vincule la nueva GPO a su servidor de archivos y fuerce la actualización de la Directiva de Grupo.
• Abra el Powershell ISE → Cree un nuevo script con el siguiente código y ejecútelo, especificando el nombre de su servidor de archivos y cambiando el intervalo de tiempo si es necesario (86400000ms cubre las últimas 24 horas):

      Get-WinEvent -ComputerName fs1 -LogName Security -FilterXPath "*[System[EventID=4670 and TimeCreated[timediff(@SystemTime) <= 86400000]] and EventData[Data[@Name='ObjectType']='File']]"  | fl | Out-File c:\data\permission_c.txt  
      

• Abra el archivo de texto producido por el script.

Habilite el seguimiento de cambios en los permisos del servidor de archivos para detectar cualquier escalada de privilegios

Los usuarios privilegiados tienen un poder tremendo en sus servidores de archivos Windows. Por ejemplo, pueden cambiar los permisos de acceso a objetos para obtener acceso a los datos sensibles en su sistema de archivos o servidores de archivos. Al habilitar la auditoría de servidor Windows de cambios de permisos en archivos, carpetas y recursos compartidos, puede monitorear y controlar los derechos de acceso, minimizando así el riesgo de escalada de privilegios. El primer paso es auditar los permisos de acceso a objetos escribiendo eventos de cambio en el registro de Seguridad, ya sea con la política de auditoría de grupo de dominio de Active Directory, o con las configuraciones de seguridad definidas en políticas locales en Windows Server.

¿Dónde puedes encontrar los cambios de permisos de carpeta en el registro de eventos? Puedes buscar manualmente el ID de evento 4670, o utilizar scripts de PowerShell diseñados para rastrear cambios en las listas de control de acceso de seguridad (SACLs). Sin embargo, asegúrate de tener tiempo extra, porque identificar los valores de antes y después para un cambio escrito en el lenguaje de definición de descriptor de seguridad (SDDL) no es tarea fácil. ¿Hay una mejor manera?

Netwrix Auditor permite la auditoría de acceso a objetos en sus servidores de archivos Windows, dispositivos de almacenamiento EMC y NetApp filers, simplificando su vida y brindándole tranquilidad. La plataforma ofrece visibilidad sobre todos los cambios y eventos de acceso (tanto exitosos como fallidos) en sus almacenamientos de archivos. Cada evento de cambio incluye detalles fáciles de leer sobre quién cambió qué permisos en qué archivos, así como cuándo y dónde ocurrió, para que pueda detectar la escalada de privilegios antes de que se produzca algún daño.