Como Detectar Modificações nos Itens de Inicialização no Registro do Windows

Auditoria Nativa

1. Execute gpedit.msc → Crie uma nova GPO → Edite-a: Vá até "Configuração do Computador" → Políticas → Configurações do Windows → Configurações de Segurança → Políticas Locais → Política de Auditoria:
   • Audite o acesso a objetos → Defina → "Sucesso" e "Falhas".
2. Vá para Event Log → Defina:
   • Tamanho máximo do log de segurança para 4gb
   • Método de retenção para o log de segurança para "Sobrescrever eventos conforme necessário".
3. Vincule a nova GPO à OU com servidores Windows: Acesse "Gerenciamento de Política de Grupo" → Clique com o botão direito na OU definida → Escolha "Vincular um GPO Existente" → Escolha o GPO que você criou.
4. Force a atualização da política de grupo: Em "Group Policy Management" clique com o botão direito na OU definida → Clique em "Group Policy Update".
5. Execute "regedit" → Navegue até "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" → Clique com o botão direito na chave "Run" e selecione "permissões" → Clique em "Avançado" → Selecione a aba "Auditoria" → Clique no botão "Adicionar":
   • Selecionar Principal: "Todos"
   • Selecione o Tipo: "Todos"
   • Selecione Aplica-se a: "Estas chaves e subchaves"
   • Selecione Permissões Avançadas: "Criar Subchave", "Definir Valor", "Criar Link", "Escrever DAC" e "Excluir".
6. Siga os mesmos passos com as seguintes chaves de registro:
   • HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\ CurrentVersion\Run"
   • HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\
   • HKLM\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components\.
7. Abra o Visualizador de Eventos → Pesquise no log de segurança pelo ID de evento 4657 (um valor do registro foi modificado).

Netwrix Auditor para Windows Server

1. Execute o Netwrix Auditor → Vá para "Pesquisar" → Clique em "Modo avançado" se não estiver selecionado → Configure os seguintes filtros:
   • Filter = "Quando"
     Operator = "Igual a"
     Value = "Hoje"
   • Filter = "Tipo de objeto"
     Operator = "Igual a"
     Value = "Chave de Registro"
   • Filter = "O quê"
     Operator = "Contém"
     Value = "Executar"
   • Filter = "O quê"
     Operator = "Contém"
     Value = "Instalado"
2. Clique no botão "Pesquisar" e revise quais chaves de registro foram modificadas e quem fez isso.

Para criar um alerta acionado sempre que uma chave de registro for modificada:

1. Nos resultados da pesquisa, navegue até "Ferramentas" → Clique em "Criar alerta" → Especifique o nome do novo alerta.
2. Vá para a aba "Destinatários" → Clique em "Adicionar Destinatário" → Especifique o endereço de e-mail para onde deseja que o alerta seja entregue.
3. Clique em "Adicionar" para salvar o alerta.