Cómo detectar cambios en Unidades Organizativas y Grupos en Active Directory

Netwrix Auditor para Active Directory

• Ejecute Netwrix Auditor → Vaya a "Buscar" → Haga clic en "Modo avanzado" si no está seleccionado → Configure los siguientes filtros:
  • Filter = "Fuente de datos"
    Operator = "Igual a"
    Value = "Active Directory"
  • Filter = "Tipo de objeto"
    Operador = "Igual"
    Valor = "UnidadOrganizativa"
  • Filter = "Tipo de objeto"
    Operator = "Igual a"
    Value = "Grupo"
• Haga clic en el botón "Buscar" y revise qué cambios se realizaron en los grupos y unidades organizativas.

Para crear una alerta sobre modificaciones en unidades organizativas y grupos:

• Desde los resultados de búsqueda, navegue hasta "Herramientas" → Haga clic en "Crear alerta" → Especifique el nombre de la nueva alerta.
• Cambie a la pestaña "Destinatarios" → Haga clic en "Agregar destinatario" → Especifique la dirección de correo electrónico donde desea que se entregue la alerta.
• Haga clic en "Agregar" para guardar la alerta.

Aprende más sobre Netwrix Auditor for Active Directory

Auditoría Nativa

1. Ejecute GPMC.msc (url2open.com/gpmc) → Cree una nueva GPO y edítela → Configuración del equipo → Políticas → Configuración de Windows → Configuración de seguridad → Políticas locales → Política de auditoría:
   • Auditar la gestión de cuentas → Definir → Éxito
   • Audite el acceso al servicio de directorio → Defina → Éxito.
2. Vuelva al nivel de Configuración de Seguridad → Event Log:
   • Tamaño máximo del registro de seguridad → Definir a 4gb
   • Método de retención para el registro de seguridad → Definir para Sobrescribir eventos según sea necesario.
3. Vincule la nueva GPO: Vaya a "Group Policy Management" → Haga clic derecho en el dominio o la OU → Elija Vincular una GPO existente → Elija la GPO que creó.
4. Fuerce la actualización de la política de grupo: En "Group Policy Management" haga clic derecho en la OU definida → Haga clic en "Group Policy Update".
5. Abra ADSI Edit (url2open.com/adsi) → Haga clic derecho en ADSI Edit → Conectar al contexto de nomenclatura predeterminado → Haga clic derecho en el objeto DomainDNS con el nombre de su dominio → Propiedades → Seguridad (Pestaña) → Avanzado (Botón) → Auditoría (Pestaña) → Agregar Principal "Todos" → Tipo "Éxito" → Se aplica a "Este objeto y objetos descendientes" → Permisos → Seleccione todas las casillas haciendo clic en "Control total", excepto las siguientes: Control total, Listar contenido, Leer todas las propiedades, Leer permisos → Haga clic en "Aceptar".
6. Abra el Visor de eventos y filtre el registro de Seguridad para encontrar los id de evento (Windows Server 2003/2008-2012):
   • 4727, 4731, 4754, 4759, 4744, 4749 – Grupo creado
   • 4728, 4732, 4756, 4761, 4746, 4751 – Miembro agregado a un grupo
   • 4729, 4733, 4757, 4762, 4747, 4752 – Miembro eliminado de un grupo
   • 4730, 4734, 4758, 4748, 4753, 4763 – Grupo eliminado
   • 4735, 4737, 4745, 4750, 4755, 4760 – Grupo modificado
   • 4662 - Se realizó una operación en un objeto (Tipo: Acceso a Servicio de Directorio).

Monitoree continuamente los cambios en las OU y grupos para evitar tiempos de inactividad del sistema

Cualquier cambio no intencionado o malicioso en las unidades organizativas (OUs) de Active Directory puede tener graves repercusiones. Por ejemplo, si se elimina una OU de Active Directory que contiene cuentas de usuario, los usuarios no podrán iniciar sesión, y aquellos que ya estén conectados podrían tener problemas para acceder al correo electrónico, servidores de archivos y otros recursos críticos. La eliminación de un grupo en Active Directory puede resultar en problemas similares porque los usuarios a menudo obtienen permisos de acceso importantes a través de la membresía de grupo. Todos estos problemas interrumpen los flujos de trabajo empresariales, perjudican la productividad y aumentan la presión sobre el servicio de asistencia.

Netwrix Auditor for Active Directory puede auditar todos los cambios realizados en grupos y UO en Active Directory y puede revertir rápidamente modificaciones no autorizadas mediante la restauración de objetos de Active Directory. Es decir, si ocurre un cambio no intencionado o malicioso, Netwrix Auditor for Active Directory puede revertir rápidamente todas las configuraciones a un estado anterior, sin tiempo de inactividad o necesidad de restaurar desde una copia de seguridad. También puede restaurar las contraseñas de usuarios que fueron eliminados. En otras palabras, puedes revertir rápidamente los cambios en UO en Active Directory que puedan indicar una amenaza de seguridad.