Cómo detectar cambios en cuentas de usuario en Active Directory

Netwrix Auditor for Active Directory

1. Ejecute Netwrix Auditor → Vaya a "Informes" → Despliegue la sección "Active Directory" → Acceda a "Cambios en Active Directory" → Seleccione "Cambios en Cuentas de Usuario" → Haga clic en "Ver".

Si desea recibir este informe por correo electrónico de manera regular, simplemente seleccione la opción "Suscribirse" y defina el horario y los destinatarios.

Auditoría Nativa

1. Habilite las políticas de auditoría en la Directiva de seguridad del controlador de dominio predeterminado GPO. Active la política de auditoría "Audit user account management".
2. Busque el ID de evento 4720 (creación de cuenta de usuario), 4722 (cuenta de usuario habilitada), 4725 (cuenta de usuario deshabilitada), 4726 (cuenta de usuario eliminada) y 4738 (cuenta de usuario modificada).
3. Tenga en cuenta que cuando crea inicialmente una cuenta de usuario, AD crea la cuenta como deshabilitada, realiza varias actualizaciones iniciales y luego la habilita inmediatamente. Por lo tanto, siempre verá una ocurrencia algo falsa de 4722 asociada con cada nueva cuenta creada.

Aprenda más sobre Netwrix Auditor for Active Directory

Monitoree los cambios en las cuentas de usuario para detectar intrusos rápidamente

Las consideraciones de cumplimiento y seguridad hacen que el seguimiento de los cambios en las cuentas de usuario en Active Directory sea muy importante. Las modificaciones que pueden ser señal de actividad maliciosa incluyen un gran número de cuentas de usuario de AD recién creadas con permisos extendidos; un gran número de cuentas de usuario inactivas; cuentas de usuario de AD que han sido deshabilitadas o modificadas de manera sospechosa; y cuentas que de repente se han activado después de un largo período de inactividad de la cuenta. El monitoreo continuo de este tipo de cambios ayuda a los profesionales de TI a detectar actividades maliciosas de manera oportuna y así evitar fugas de datos sensibles.

Netwrix Auditor for Active Directory detecta cambios en las cuentas de usuario de AD y proporciona informes de auditoría detallados que muestran quién realizó cada cambio y qué fue modificado. Una suscripción por correo electrónico al informe de Resumen de Cambios en Active Directory le ayudará a mantenerse informado de todos los cambios en las cuentas de usuario en Active Directory y le ayudará a detectar modificaciones maliciosas antes de que conduzcan a la pérdida de datos sensibles. En algunos casos, Netwrix Auditor puede reforzar la seguridad aún más; por ejemplo, la función de Seguimiento de Usuarios Inactivos deshabilita automáticamente las cuentas de usuarios inactivos, haciéndolas inaccesibles para los intrusos.