Az Active Directory auditálása: A legfontosabb követendő tevékenységek

Az Active Directory auditálása létfontosságú, mert az Active Directory (AD) vezérli az informatikai birodalma kulcsait. Valójában az Active Directory körüli tevékenységek megfelelő figyelése több dimenzióban is kritikus fontosságú, beleértve az üzletmenet folytonosságát, a felhasználói termelékenységet, a biztonságot és a szabályozási megfelelést.

De pontosan mit foglal magában az Active Directory auditálása, milyen tevékenységeket kell nyomon követni, és hogyan valósíthatja meg hatékonyan és megbízhatóan az auditálást - anélkül, hogy túlterhelné korlátozott IT-erőforrásait, vagy kidobná költségvetését? Mindezt és még sok mást megvizsgálunk.

Miért szükséges az Active Directory auditálása?

Az Active Directory biztosítja az alapvető hitelesítési és engedélyezési szolgáltatásokat, amelyek ahhoz szükségesek, hogy az alkalmazottak elvégezhessék munkájukat, és működjenek az üzleti folyamatok. Az Active Directory biztonsági csoportjai és egyéb képességei szabályozzák az informatikai ökoszisztémához és erőforrásaihoz való hozzáférést, az Active Directory csoportházirendje pedig mindent szabályoz a szoftvertelepítésektől és a kényszerített újraindításoktól a jelszókövetelményekig és a hitelesítési protokollokig.

Ezért biztosítania kell, hogy az Active Directory egészséges és biztonságos legyen. Az Active Directory auditálása segít e cél elérésében azáltal, hogy adatokat gyűjt és elemez az Active Directory konfigurációjáról és a környezetében végzett tevékenységeiről. Például az Active Directory hatékony auditálása lehetővé teszi, hogy észrevegye a kiemelt biztonsági csoportok tagságában vagy a kritikus csoportházirend-objektumok (GPO-k) beállításaiban bekövetkezett bármilyen változást, mielőtt az költséges üzleti fennakadásokat, felhasználói frusztrációt, biztonsági megsértéseket vagy megfelelőségi szankciókat eredményezne. és egyéb károkat.

Mire van szükség az Active Directory auditálásakor?

Az Active Directory auditálására szolgáló valóban hatékony program a következők mindegyikét tartalmazza:

• Alapos és időben történő adatgyűjtés - A fenyegetések azonnali észleléséhez, kivizsgálásához és az azokra való reagáláshoz minden lényeges részletre kéznél kell lennie, beleértve az egyes események öt W-jét: ki, mit, mikor, hol és a kiinduló munkaállomás .
• Adatok normalizálása - A különféle natív naplók és egyéb adatforrások az AD-ben végzett tevékenységekkel kapcsolatban különböző módokon tárolják az információkat. Ahhoz, hogy mindezt megértsük, egységes formátumba kell szabványosítani az adatokat.
• Összefüggés és elemzés - A fenyegetések észleléséhez és az incidensek tágabb összefüggéseinek megértéséhez nem elegendő az egyes rendszerekben végzett tevékenységeket külön-külön szemlélni. Inkább képesnek kell lennie arra, hogy pontosan korrelálja és elemezze a tevékenységeket a rendszerek között. Például annak megértéséhez, hogy egy adott felhasználó mekkora veszélyt jelent, fel kell tudnia mérni az összes tevékenységét az IT-ökoszisztémában.
• Egyértelmű és hatékony jelentéskészítés - A normalizált adatok és elemzések használatához képesnek kell lennie olyan jelentésekre, amelyek egyértelműen felfedik a tényleges engedélyeket, a tartományvezérlő (DC) konfigurációját, a csoportházirend-objektum-módosításokat és még sok mást.
• Valós idejű riasztás - A legjobb Active Directory auditálási megoldások nem várnak arra, hogy lefuttassa a jelentést vagy megnézze az irányítópultot; proaktívan értesítik Önt a fenyegetésekről, és megadják a válaszadáshoz és a károk megfékezéséhez szükséges kulcsfontosságú részleteket.
• Proaktív intézkedések - Egyes Active Directory naplózási eszközök még ennél is tovább mennek: Lehetővé teszik a kritikus objektumok (például létfontosságú csoportházirend-objektumok és kiemelten kiváltságos csoportok) módosításának blokkolását, és automatikus válaszok beállítását a fenyegetési mintákra (például a fiók, amely zsarolóvírussal kapcsolatos műveleteket hajt végre).

Hogyan lehet auditálni a változásokat az Active Directoryban

A Microsoft kétféle ellenőrzési házirend-beállítást kínál:

• Alapvető naplóbeállítások - Ez a kilenc beállítás a Biztonsági beállítások\Helyi házirendek\Ellenőrzési szabályzat részben érhető el. Lehetővé teszik a fiókbejelentkezési események ellenőrzését, a fiókkezelést, a címtárszolgáltatáshoz való hozzáférést, a bejelentkezési eseményeket, az objektum-hozzáférést, a házirend-módosítást, a jogosultságok használatát, a folyamatkövetést és a rendszereseményeket.
• Speciális házirend-beállítások - A Biztonsági beállítások\Speciális ellenőrzési házirend-konfiguráció 53 beállításával sokkal részletesebb házirendet határozhat meg az Active Directory naplózásához. Például ellenőrizheti, ha egy csoportadminisztrátor megváltoztatta a beállításokat egy pénzügyi információkat tartalmazó kiszolgálón. Ezeket a beállításokat a helyi eszköz Helyi biztonsági házirend beépülő modulján (secpol.msc) vagy a Csoportházirend használatával érheti el.

Vigyázat: A Microsoft azt tanácsolja, hogy ne használja együtt a két lehetőséget, mivel ez „váratlan eredményeket” okozhat az auditjelentésekben.

Milyen eseményeket kell nyomon követni az Active Directory auditálásakor?

Az Active Directory auditálásának célja olyan tevékenységek észlelése, amelyek veszélyt jelenthetnek a szervezetre. Mivel azonban minden szervezetnek más-más prioritása, kockázattűrése, stratégiája, személyzete és így tovább, nincs végleges lista arról, hogy pontosan mely eseményeket kell auditálni, vagy hogy pontosan hogyan kell konfigurálni a speciális házirend-beállításokat. A Microsoft útmutatást nyújt a speciális naplózási házirend-beállítások igényeinek megfelelő konfigurálásához.

Íme egy magas szintű lista azokról a kulcsfontosságú dolgokról, amelyeket be kíván vonni az Active Directory auditálási folyamatába:

• A csoportházirend módosításai - A csoportházirend-objektum (GPO) jogosulatlan vagy helytelen módosítása veszélyeztetheti szervezete biztonságát, megfelelőségét és üzletmenet-folytonosságát. Egyetlen helytelen módosítás például korlátlan számú kísérletet tehet az ellenfelek számára, hogy kitalálják az Ön nagy teljesítményű rendszergazdai fiókjainak jelszavát, lehetővé teheti az azonosítatlan felhasználók számára, hogy csatlakozzanak egy szabályozott adatokat tároló hálózati megosztáshoz, vagy engedélyezze olyan USB-eszközök használatát, amelyek zsarolóvírusokat szabadíthatnak fel.
• Változások a kiemelt csoportokban - Az Active Directory több beépített privilegizált csoportot tartalmaz, például vállalati rendszergazdákat és tartományi rendszergazdákat, amelyek jelentős hatalmat biztosítanak tagjaiknak az informatikai környezetben. A szervezetek saját privilegizált csoportokat is létrehozhatnak az érzékeny adatokhoz, alkalmazásokhoz és egyéb informatikai eszközökhöz való hozzáférés szabályozására. Ezért kritikus fontosságú, hogy figyelemmel kísérje az ilyen erős csoportok tagságában vagy jogaiban bekövetkezett változásokat.
• Kiváltságos fiókok tevékenysége - A rendszergazdák és más kiváltságos felhasználók véletlenül vagy szándékosan visszaélhetnek fiókjaikkal, és súlyos károkat okozhatnak a szervezetben. Ezenkívül a privilegizált fiókok a támadók elsődleges célpontjai. Ne felejtse el ellenőrizni az összes emelt jogosultsággal rendelkező szolgáltatási fiók tevékenységét is.
• Felhasználói fiókok kizárása - Bár a legtöbb felhasználói fiók kizárása nem jelez fenyegetést, megzavarhatja az üzleti folyamatokat. A fióklezárások megugrása pedig a hálózat elleni nyers erejű támadás jele lehet.
• Új felhasználói fiókok létrehozása - A növekvő vagy változó szervezeteknek számos legitim fiók-kiépítési tevékenységük lehet. Ennek ellenére fontos észben tartani, hogy egy új Active Directory felhasználói fiók létrehozása számos hozzáférési ajtót nyit meg informatikai környezete felé, és figyeljen az illetéktelen tevékenységekre.
• Változások a tartományvezérlőkben - Mivel az Active Directory ténylegesen a DC-kben fut, az ezeken a kiszolgálókon végzett nem megfelelő módosítások a hitelesítés lelassulásától a katasztrofális leállásokig sok mindent okozhatnak. Ne feledje azt is, hogy a DC-k az NTDS.dit fájlt tárolják, amely kritikus adatokat tárol az AD-felhasználókról, csoportokról, számítógépekről, jelszókivonatokról és a címtárkonfigurációról, ezért figyelnie kell a kiszivárgási kísérleteket.
• Hitelesítési tevékenység - A felhasználói bejelentkezési és kijelentkezési tevékenység nyomon követése segít megérteni a normál felhasználói viselkedést, és észrevenni a szokatlan tevékenységeket, amelyek veszélyt jelenthetnek. Fontos a régebbi és kockázatosabb NTLM-hitelesítési protokoll használatának figyelemmel kísérése is, és a Kerberos sebezhetőségeinek kihasználására irányuló kísérletek észlelése, amelyek utalhatnak a Golden Ticket és a Pass the Ticket lehetőségre.
• Azure AD-bejelentkezések - Hibrid környezetben a be- és kijelentkezési tevékenység nyomon követése is alapvető fontosságú az Azure AD-ben. Ideális esetben ezt a tevékenységet össze kell kapcsolni a helyszíni bejelentkezési és kijelentkezési eseményekkel, hogy koherens képet adjon, amely képes feltárni az összetettebb fenyegetéseket.
• Az Azure AD-szerepkörök változásai - Az Azure AD-szerepkörök felhasználókhoz való hozzárendelése lehetővé teszi számukra a kritikus erőforrások elérését és kezelését. Létfontosságú, hogy azonnal észrevegyenek minden jogosulatlan változást a szerepkör tagságában vagy kiváltságaiban, mivel ez egy olyan ellenfél lehet, amely megpróbálja fokozni jogaikat a környezetben.

Milyen riasztásokat állítsak be?

Az informatikai ökoszisztémák rendkívül forgalmas helyek, amelyeken naponta több millió esemény tarthat. A speciális ellenőrzési házirend-beállítások segíthetnek azáltal, hogy lehetővé teszik a figyelni kívánt viselkedések finomhangolását. Például olyan tevékenységeket végezhet, amelyek nem érintik Önt, vagy amelyek túl sok naplóbejegyzést hoznak létre.

Ennek ellenére kihívást jelenthet megtalálni a valóban gyanús tevékenységet az Ön által gyűjtött auditálási adatok óceánjában. Ez magában foglalja mind az egyedi, magas kockázatú rendellenes eseményeket, mind a szélesebb körű tevékenységeket vagy a kapcsolódó események láncolatát, amelyek valódi fenyegetést jelentenek.

Például a nagy teljesítményű biztonsági csoportok, például a vállalati rendszergazdák módosításai eleve kockázatosak és általában ritkák, ezért érdemes lehet figyelmeztetni az ilyen csoportokat érintő változásokat. De valószínűleg nincs értelme minden alkalommal riasztást kiadni, amikor új tagot adnak az értékesítési csapathoz - hacsak nem egy nagyobb eseménysorozat része, amely egy Active Directory-támadás részeként a jogosultságok lehetséges kiszélesítésére utal. Hasonlóképpen, az informatikai csapatok valószínűleg gyorsan elárasztanak, ha minden tartalom törlését meg kellene vizsgálniuk a fájlmegosztásokból. De érdemes figyelmeztetni őket, ha a fájlok törlése megugrott, ami egy folyamatban lévő ransomware támadást vagy egy elégedetlen alkalmazottat jelezhet, aki kárt akar tenni a vállalkozásában.

Minél nagyobb a rugalmasság, annál jobb. A speciális ellenőrzési házirend-beállítások testreszabásával és az Active Directory naplózási megoldásával, amely kontextust biztosít a tevékenységek körül, és testreszabott riasztásokat kínál, nullázhatja a valódi fenyegetéseket, és elkerülheti a riasztások fáradtságát.

Elegendő a natív ellenőrzés?

A Microsoft néhány hasznos Active Directory naplózási funkciót biztosít, amelyek előnye, hogy ingyenesek. De számos fontos korlátja és hátránya van:

• Az ellenőrzési naplók decentralizáltak. Minden egyes tartományvezérlőről (DC) össze kell gyűjtenie a különálló biztonsági eseménynaplókat, ahol engedélyezve van a naplózás.
• Az ellenőrzési adatok hiányosak. A natív naplók nem képesek teljes mértékben rögzíteni az Active Directory kritikus aspektusait. Például naplózzák, hogy csoportházirend-objektum-módosítási esemény történt, de nem rögzítik, hogy mely beállítások módosultak.
• A naplók zajosak és nehezen értelmezhetők. Egyetlen esemény több naplóbejegyzést is generálhat. Ezenkívül az események gyakran irreleváns vagy homályos információkat tartalmaznak, például GUID-ket, nem pedig felismerhető objektumneveket.
• A naplóadatok eltűnhetnek azelőtt, hogy észrevenné, hogy szüksége van rájuk. A biztonsági eseménynapló rendkívül aktív, és rendszeresen felülírják.
• Az elemzés korlátozott. A Windows Eseménynapló segítségével áttekintheti a naplózási adatokat, és bizonyos kritériumok szerint szűrheti azokat, például időszak, forrás és felhasználó szerint. A naplóbejegyzésekben található egyéb adatok használatához XML-lekérdezéseket kell létrehoznia, vagy a PowerShellt kell használnia.
• A jelentések és riasztások korlátozottak. A jelentések és riasztások rugalmatlanok és nehezen beállíthatók, valamint nem következetesek a helyszíni és a felhőalapú munkaterhelések között.
• A hibrid környezet megértéséhez manuális korreláció szükséges. A hibrid környezetben lévő fenyegetések észleléséhez elengedhetetlen, hogy holisztikusan megértsük a tevékenységeket a teljes IT-ökoszisztémában. A natív beállításokkal ez általában megköveteli, hogy manuálisan próbálja meg korrelálni a tevékenységet két különböző megfigyelési rendszerből: a DC-k naplóiból és a Microsoft 365 naplózási adatfolyamából.

Mire kell figyelni az Active Directory auditálási megoldásban

Sok szervezet úgy dönt, hogy befektet egy erre a célra kialakított Active Directory auditálási megoldásba. Keressen olyan megoldást, amely felülmúlja a natív eszközök fent felsorolt korlátait. Például független adatgyűjtést kell kínálnia, amely rögzíti a natív naplókból hiányzó ellenőrzési adatokat, előre beépített irányítópultokat és jelentéseket, amelyek leegyszerűsítik a tevékenységgel kapcsolatos munkát, valamint könnyen konfigurálható riasztásokat, amelyek valós időben értesítik Önt a gyanús tevékenységekről. .

Ha hibrid informatikai környezettel rendelkezik, akkor érdemes olyan eszközt keresnie, amely képes a helyszíni naplókból és a Microsoft 365 egyesített naplójából is feldolgozni a naplózási eseményeket, normalizálni és kombinálni őket, és egységes képet nyújtani a teljes IT-ökoszisztémáról. .

Ezen túlmenően keressen olyan megoldást, amely segít elkerülni az éber kimerültséget és gyorsan élni a valódi fenyegetésekkel. Például, bár a fájlok törlésének megugrása zsarolóvírust jelezhet, ez egyszerűen annak a törvényes eredménye is lehet, hogy egy rendszergazda megtisztítja az elavult fájlokat. Az új fiókok létrehozása teljesen rutin lehet, vagy lehet, hogy egy ellenfél hoz létre egy szélhámos backdoor fiókot. Nagyon értékesek lehetnek azok a riasztások, amelyek befolyásolhatják, hogy a tevékenység engedélyezett-e.

Ezenkívül ellenőrizze, hogy a megoldás lehetővé teszi-e a nem kívánt változtatások gyors visszaállítását, vagy akár a legkritikusabb AD-objektumok - például a tartományadminisztrátorokhoz hasonló hatékony csoportok - módosításának proaktív megakadályozását.

Végül keressen egy Active Directory naplózási megoldást, amely szilárd védelemmel rendelkezik a felhatalmazás vagy visszaélés ellen, beleértve a rendszerbe való összes bejelentkezés teljes nyilvántartását, a konfigurációban vagy a működésben történt összes módosítást, valamint a rekordok törlésére tett kísérleteket.

Következtetés

Az Active Directory auditálása létfontosságú a biztonság, az üzletmenet folytonossága, a felhasználói termelékenység, a szabályozási megfelelés és más szervezeti célok szempontjából. Míg a Microsoft biztosít bizonyos Active Directory auditálási képességeket, a megfelelő megoldásba való befektetés megtérülhet azáltal, hogy jobb és gyorsabb fenyegetésészlelést tesz lehetővé az értékes IT-szakemberek sokkal kevesebb idő és erőfeszítés mellett. Ennek eredményeként szervezete elkerülheti a költséges jogsértéseket, az állásidőt és a megfelelőségi szankciókat.