Cómo ver registros de AD en Event Viewer o Netwrix Auditor

Netwrix Auditor for Active Directory

• Ejecute Netwrix Auditor → Vaya a “Buscar” → Haga clic en “Modo avanzado” si no está seleccionado → Configure los siguientes filtros:
  • Filtro = “Fuente de datos”
    Operador = “Igual a”
    Valor = “Active Directory”
  • Filtro = “Detalles”
    Operador = “Contiene”
    Valor = “Cuenta de Usuario Habilitada”
• Haga clic en el botón “Buscar” y revise su informe.

---

Solución nativa

Para registrar eventos de AD primero tienes que configurar la auditoría:

1. Abre la consola de Administración de directivas de grupo (gpmc.msc) en cualquier controlador de dominio del dominio de destino → Haz clic en Inicio → Ve a Herramientas administrativas de Windows (Windows Server 2016) o Herramientas administrativas → Elige Administración de directivas de grupo.
2. Navegue hasta Domain Controllers. Haga clic derecho en la política del controlador de dominio efectivo y seleccione Editar.
3. En el Group Policy Management Editor, elija Configuración del equipo → Ir a Directivas → Ir a Configuración de Windows → Ir a Configuración de seguridad → Ir a Directivas locales → Ir a Directiva de auditoría. Establezca las siguientes políticas de auditoría:

• Auditoría de gestión de cuentas: "Éxito"
• Auditar el acceso al servicio de directorio: "Éxito"
• Audite eventos de inicio de sesión: "Éxito" y "Fracaso"

Alternativamente, puede configurar políticas de auditoría avanzadas: En el Group Policy Management Editor, expanda Configuración del equipo → Vaya a Políticas → Vaya a Configuración de Windows → Vaya a Configuración de seguridad → Vaya a Configuración de Política de Auditoría Avanzada → Vaya a Políticas de Auditoría. Establezca las siguientes políticas de auditoría:

• Gestión de cuentas
  • Auditoría de la gestión de cuentas de computadora: "Éxito"
  • Auditoría de Distribution Group Management: "Éxito"
  • Auditoría de Security Group Management: "Éxito"
  • Auditoría de la gestión de cuentas de usuario: "Éxito"
• DS Access
  • Auditar el acceso al servicio de directorio: "Éxito"
• Inicio/Cierre de sesión
  • Registro de auditoría: "Éxito"
  • Registro de auditoría de inicio de sesión: "Éxito"

Cada tipo de evento en el registro tiene su propio ID de evento. A continuación, estamos buscando el evento “se habilitó una cuenta de usuario”.

1. Haga clic derecho en Start → Elija Visor de eventos.
2. Haga clic en Windows logs → Seleccione el registro de Security.
3. Haga clic en “Filter Current Log”.
4. Especifique el ID de evento “4722” y haga clic en OK.
5. Revise los resultados.

Aprenda más sobre Netwrix Auditor for Active Directory

---

Mantenga un ojo en los cambios de su Active Directory

Active Directory (AD) es crítico para la gestión de cuentas, incluyendo tanto las de computadoras como las de usuarios. En particular, el servicio de Active Directory te permite controlar el acceso a datos y aplicaciones en tus servidores de archivos y otros componentes de tu red. Por lo tanto, es crucial llevar un registro de los cambios en tu Active Directory y detectar de manera oportuna cualquier actividad maliciosa o inapropiada para asegurar la seguridad de tu infraestructura y datos. Por ejemplo, necesitas rastrear los cambios en tus GPOs.

Event Viewer es la solución nativa para revisar los registros de seguridad. Es gratuito y está incluido en el paquete de herramientas administrativas de cada sistema Microsoft Windows. Después de habilitar la auditoría de Active Directory, Windows Server escribe eventos en el registro de Security en el controlador de dominio. El registro de eventos de seguridad registra la siguiente información:

• Acción realizada
• El usuario que realizó la acción
• El éxito del evento y cualquier error que haya ocurrido
• La hora en que ocurrió el evento

Puede exportar eventos desde el Visor de Eventos. Sin embargo, diferentes tipos de eventos tienen diferentes esquemas, lo que complica el análisis del archivo de auditoría de eventos. Además, el Visor de Eventos requiere que los administradores aprendan los números de ID de evento específicos que desean buscar o filtrar, lo que complica aún más el monitoreo de cambios en los objetos de AD. Por ejemplo, el artículo anterior muestra cómo filtrar registros para el evento “se habilitó una cuenta de usuario”.

Además, las soluciones de auditoría nativas no proporcionan la visibilidad completa que necesita. Los datos son difíciles de leer debido a la falta de formato y las descripciones crípticas. Encima de eso, la búsqueda en el registro de eventos es lenta: Incluso con el tamaño de registro predeterminado, tendrá que pasar un tiempo significativo esperando a que la búsqueda termine, lo que retrasará su respuesta ante amenazas.

A diferencia de las soluciones nativas, Netwrix Auditor for Active Directory ofrece alertas y reportes preconstruidos y personalizados que traducen los datos de eventos de los registros de Active Directory a un formato claro y fácil de leer. En lugar de pasar horas escarbando en archivos de registro con Event Viewer, Netwrix Auditor le proporciona los datos que necesita de manera rápida y sencilla, ayudando a acelerar la respuesta ante amenazas y simplificar la preparación para auditorías de cumplimiento.