Como Detectar Alterações nas Unidades Organizacionais e Grupos no Active Directory

Netwrix Auditor para Active Directory

• Execute o Netwrix Auditor → Vá para "Pesquisar" → Clique em "Modo avançado" se não estiver selecionado → Configure os seguintes filtros:
  • Filter = "Fonte de dados"
    Operator = "Igual a"
    Value = "Active Directory"
  • Filter = "Tipo de objeto"
    Operador = "Igual a"
    Valor = "Unidade Organizacional"
  • Filter = "Tipo de objeto"
    Operator = "Igual a"
    Value = "Grupo"
• Clique no botão "Pesquisar" e revise quais alterações foram feitas nos grupos e unidades organizacionais.

Para criar um alerta sobre modificações em unidades organizacionais e grupos:

• A partir dos resultados da pesquisa, navegue até "Ferramentas" → Clique em "Criar alerta" → Especifique o nome do novo alerta.
• Mude para a aba "Destinatários" → Clique em "Adicionar Destinatário" → Especifique o endereço de e-mail para onde deseja que o alerta seja entregue.
• Clique em "Adicionar" para salvar o alerta.

Saiba mais sobre Netwrix Auditor for Active Directory

Auditoria Nativa

1. Execute GPMC.msc (url2open.com/gpmc) → Crie uma nova GPO e edite-a → Configuração do Computador → Políticas → Configurações do Windows → Configurações de Segurança → Políticas Locais → Política de Auditoria:
   • Auditoria de gerenciamento de contas → Definir → Sucesso
   • Audite o acesso ao serviço de diretório → Definir → Sucesso.
2. Retorne ao nível de Configurações de Segurança → Event Log:
   • Tamanho máximo do log de segurança → Definir para 4gb
   • Método de retenção para log de segurança → Definir para Sobrescrever eventos conforme necessário.
3. Vincule a nova GPO: Acesse "Gerenciamento de Política de Grupo" → Clique com o botão direito no domínio ou na OU → Escolha Vincular uma GPO Existente → Escolha a GPO que você criou.
4. Force a atualização da política de grupo: Em "Group Policy Management" clique com o botão direito na OU definida → Clique em "Group Policy Update".
5. Abra o ADSI Edit (url2open.com/adsi) → Clique com o botão direito em ADSI Edit → Conectar ao contexto de nomeação padrão → Clique com o botão direito no objeto DomainDNS com o nome do seu domínio → Propriedades → Segurança (Aba) → Avançado (Botão) → Auditoria (Aba) → Adicionar Principal "Todos" → Tipo "Sucesso" → Aplica-se a "Este objeto e objetos descendentes" → Permissões → Selecione todas as caixas de seleção clicando em "Controle Total", exceto as seguintes: Controle Total, Listar Conteúdo, Ler todas as propriedades, Ler permissões → Clique em "OK".
6. Abra o Visualizador de Eventos e filtre o log de Segurança para encontrar os IDs de evento (Windows Server 2003/2008-2012):
   • 4727, 4731, 4754, 4759, 4744, 4749 – Grupo criado
   • 4728, 4732, 4756, 4761, 4746, 4751 – Membro adicionado a um grupo
   • 4729, 4733, 4757, 4762, 4747, 4752 – Membro removido de um grupo
   • 4730, 4734, 4758, 4748, 4753, 4763 – Grupo excluído
   • 4735, 4737, 4745, 4750, 4755, 4760 – Grupo alterado
   • 4662 - Uma operação foi realizada em um objeto (Tipo: Acesso ao Serviço de Diretório).

Monitore continuamente as alterações em OUs e Grupos para evitar inatividade do sistema

Qualquer alteração não intencional ou maliciosa nas unidades organizacionais (OUs) do Active Directory pode ter sérias repercussões. Por exemplo, se uma OU do Active Directory que contém contas de usuários for excluída, os usuários não poderão fazer login, e aqueles que já estão logados podem ter problemas para acessar e-mails, servidores de arquivos e outros recursos críticos. A exclusão de um grupo no Active Directory pode resultar em problemas semelhantes, pois os usuários muitas vezes obtêm permissões de acesso importantes por meio da associação a grupos. Todos esses problemas interrompem os fluxos de trabalho empresariais, prejudicam a produtividade e aumentam a pressão sobre o serviço de ajuda.

Netwrix Auditor for Active Directory pode auditar todas as alterações feitas em grupos e UOs no Active Directory e pode rapidamente reverter modificações não autorizadas por restaurar objetos do Active Directory. Ou seja, se ocorrer uma alteração não intencional ou maliciosa, Netwrix Auditor for Active Directory pode rapidamente reverter todas as configurações para um estado anterior, sem qualquer tempo de inatividade ou necessidade de restaurar a partir de um backup. Também pode restaurar as senhas de usuários que foram excluídos. Em outras palavras, você pode rapidamente voltar no tempo em alterações nas UOs no Active Directory que podem indicar uma ameaça à segurança.