As melhores práticas de auditoria para Windows Server - Blog Redbelt
Não há nada mais difícil de se encontrar na web do que um bom artigo que traga as principais práticas de política de auditoria para Windows Server. Sempre que precisei de algo relacionado era uma luta para encontrar um bom artigo e quando encontrava tinha que pegar informações de vários blogs até chegar em uma conclusão. Como o meu intuito sempre foi facilitar a vida dos meus leitores e sempre trazer bons conteúdos em português, criei este artigo para servir como um guia – e, claro, não teria como não compartilhar com a comunidade.
Essas recomendações devem ser apenas um guia de linha de base inicial para os administradores. Cada organização deve tomar as suas próprias decisões sobre as ameaças que enfrentam, suas tolerâncias de risco aceitáveis e quais categorias ou subcategorias de diretiva de auditoria para Windows Server eles devem habilitar.
Esta seção contém tabelas que listam as recomendações de configuração de auditoria para Windows Server ou não, que se aplicam aos seguintes sistemas operacionais:
Legenda das tabelas de política de auditoria para Windows Server
Recomendações de configurações de auditoria do Windows 10, do Windows 8 e do Windows 7.
Recomendações de configurações de auditoria para Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 e Windows Server 2008.
Todos os planos de gerenciamento de log de eventos devem monitorar estações de trabalho e servidores. Um erro comum é monitorar apenas os servidores ou controladores de domínio.
Eventos a Monitorar
Alta probabilidade de que a ocorrência indique atividade não autorizada;
Número baixo de falsos positivos;
A ocorrência deve resultar em uma resposta investigativa/forense.
Esses eventos em que mesmo uma única ocorrência indica atividade não autorizada;
Um acúmulo de eventos acima de uma linha de base esperada e aceita.
Se os administradores de domínio (DAs) forem proibidos de fazer logon em computadores que não são controladores de domínio, uma única ocorrência de um membro que faz logon em uma estação de trabalho do usuário final deverá gerar um alerta e ser investigado. Esse tipo de alerta é fácil de gerar usando o evento de logon especial de auditoria 4964 (grupos especiais foram atribuídos a um novo logon). Outros exemplos de alertas de instância única incluem:
Se o servidor A nunca deve se conectar ao servidor B, alertar quando eles se conectarem entre si;
Alertar se uma conta de usuário final normal for adicionada inesperadamente a um grupo de segurança confidencial;
Se os funcionários na localização de fábrica A nunca funcionarem à noite, alerte quando um usuário fizer logon à meia-noite;
Alertar se um serviço não autorizado estiver instalado em um controlador de domínio;
Investigue se um usuário final regular tenta fazer logon diretamente em um SQL Server para o qual não há motivo claro para isso;
Active Directory objetos e atributos a serem monitorados
Sistemas para desabilitar ou remover software antivírus e antimalware (reiniciar automaticamente a proteção quando ele é desabilitado manualmente);
Contas de administrador para alterações não autorizadas;
Atividades executadas usando contas com privilégios (remover automaticamente a conta quando atividades suspeitas forem concluídas ou o tempo alocado tiver expirado);
Contas com privilégios de VIP no AD DS. Monitore alterações, especialmente alterações em atributos na guia conta (por exemplo CN, nome, sAMAccountName, userPrincipalName ou userAccountControl). Além de monitorar as contas, restrinja quem pode modificar as contas para o menor conjunto de usuários administrativos possível;
Agrupe os servidores pela classificação de suas cargas de trabalho, o que permite identificar rapidamente os servidores que devem ser mais bem monitorados e mais rigorosamente configurados;
Alterações nas propriedades e Associação dos seguintes grupos de AD DS: administradores corporativos (EA), administradores de domínio (DA), administradores (BA) e administradores de esquema (SA);
Contas com privilégios desabilitadas (como contas de administrador internas no Active Directory e em sistemas Membros) para habilitar as contas;
Contas de gerenciamento para registrar em log todas as gravações na conta;
Lista geral de recomendação de ID de evento de segurança
Médio: uma ID de evento com uma classificação de criticalidade média pode indicar atividades mal-intencionadas, mas deve ser acompanhada por alguma outra anormalidade (por exemplo, um número incomum ocorrendo em um período de tempo específico, ocorrências inesperadas ou ocorrências em um computador que normalmente não seria esperado para registrar o evento). Um evento de criticalidade médio também pode ser coletado como uma métrica e comparado ao longo do tempo.
Baixo: a ID do evento com poucos eventos de criticalidade não devem obter atenção ou causar alertas, a menos que correlacionem-se com eventos de criticalidade médios ou altos.
Essas recomendações de auditoria para Windows Server destinam-se a fornecer um guia de linha de base para o administrador. Todas as recomendações devem ser examinadas minuciosamente antes da implementação em um ambiente de produção.