Come rilevare modifiche alle unità organizzative e ai gruppi in Active Directory

Netwrix Auditor per Active Directory

• Esegui Netwrix Auditor → Vai su "Cerca" → Clicca su "Modalità avanzata" se non selezionata → Imposta i seguenti filtri:
  • Filter = "Origine dati"
    Operator = "Uguale a"
    Value = "Active Directory"
  • Filter = "Tipo di oggetto"
    Operator = "Uguale"
    Value = "UnitàOrganizzativa"
  • Filtro = "Tipo di oggetto"
    Operatore = "Uguale"
    Valore = "Gruppo"
• Fai clic sul pulsante "Cerca" e controlla quali modifiche sono state apportate ai gruppi e alle unità organizzative.

Per creare un avviso sulle modifiche delle unità organizzative e dei gruppi:

• Dai risultati della ricerca, vai a "Strumenti" → Clicca su "Crea avviso" → Specifica il nome del nuovo avviso.
• Passa alla scheda "Destinatari" → Clicca su "Aggiungi destinatario" → Specifica l'indirizzo email dove desideri che venga consegnato l'avviso.
• Fai clic su "Aggiungi" per salvare l'allerta.

Scopri di più su Netwrix Auditor for Active Directory

Auditing nativo

1. Esegui GPMC.msc (url2open.com/gpmc) → Crea un nuovo GPO e modificalo → Configurazione del computer → Criteri → Impostazioni Windows → Impostazioni di sicurezza → Criteri locali → Criteri di controllo:
   • Verifica la gestione degli account → Definisci → Successo
   • Verifica l'accesso al servizio di directory → Definisci → Successo.
2. Ritorna al livello delle Impostazioni di Sicurezza → Event Log:
   • Dimensione massima del registro di sicurezza → Definire a 4gb
   • Metodo di conservazione per il registro di sicurezza → Impostare per Sovrascrivere gli eventi secondo necessità.
3. Collega il nuovo GPO: Vai su "Gestione Criteri di Gruppo" → Clicca con il tasto destro sul dominio o sull'OU → Scegli Collega un GPO Esistente → Scegli il GPO che hai creato.
4. Forza l'aggiornamento della policy di gruppo: In "Group Policy Management" clicca con il tasto destro sull'OU definita → Clicca su "Group Policy Update".
5. Apri ADSI Edit (url2open.com/adsi) → Fai clic destro su ADSI Edit → Connettiti al contesto di denominazione predefinito → Fai clic destro sull'oggetto DomainDNS con il nome del tuo dominio → Proprietà → Sicurezza (Scheda) → Avanzate (Pulsante) → Controllo (Scheda) → Aggiungi il Principale "Tutti" → Tipo "Successo" → Si applica a "Questo oggetto e oggetti discendenti" → Permessi → Seleziona tutte le caselle cliccando su "Controllo completo", eccetto le seguenti: Controllo completo, Elenca contenuti, Leggi tutte le proprietà, Leggi i permessi → Clicca su "OK".
6. Apri Visualizzatore eventi e filtra il registro Sicurezza per trovare gli id evento (Windows Server 2003/2008-2012):
   • 4727, 4731, 4754, 4759, 4744, 4749 – Gruppo creato
   • 4728, 4732, 4756, 4761, 4746, 4751 – Membro aggiunto a un gruppo
   • 4729, 4733, 4757, 4762, 4747, 4752 – Membro rimosso da un gruppo
   • 4730, 4734, 4758, 4748, 4753, 4763 – Gruppo eliminato
   • 4735, 4737, 4745, 4750, 4755, 4760 – Gruppo modificato
   • 4662 - È stata eseguita un'operazione su un oggetto (Tipo: Accesso al servizio di directory).

Monitora continuamente le modifiche a OU e gruppi per evitare inattività del sistema

Qualsiasi modifica non intenzionale o malevola alle unità organizzative (OU) di Active Directory può avere gravi ripercussioni. Ad esempio, se un'OU di Active Directory contenente account utente viene eliminata, gli utenti non saranno in grado di accedere, e coloro che sono già connessi potrebbero incontrare problemi nell'accesso alla posta elettronica, ai file server e ad altre risorse critiche. L'eliminazione di un gruppo in Active Directory può portare a problemi simili perché gli utenti spesso ottengono importanti permessi di accesso tramite l'appartenenza al gruppo. Tutti questi problemi interrompono i flussi di lavoro aziendali, danneggiano la produttività e aumentano la pressione sul help desk.

Netwrix Auditor for Active Directory può auditare tutte le modifiche apportate a gruppi e OU in Active Directory e può rapidamente annullare le modifiche non autorizzate ripristinando gli oggetti di Active Directory. Ovvero, se si verifica una modifica non intenzionale o malevola, Netwrix Auditor for Active Directory può rapidamente ripristinare tutte le impostazioni di configurazione a uno stato precedente, senza alcun tempo di inattività o necessità di ripristinare da un backup. Può anche ripristinare le password degli utenti che sono stati eliminati. In altre parole, puoi rapidamente riavvolgere il tempo sulle modifiche agli OU in Active Directory che potrebbero indicare una minaccia alla sicurezza.