Puntos clave
- Este proceso ofrece visibilidad unificada de la autenticación y la actividad de los usuarios tanto en Active Directory on-premises como en Microsoft 365 en el cloud.
- Primero hay que configurar y habilitar las políticas de auditoría por directiva de grupo en los controladores de dominio para registrar los inicios de sesión correctos y fallidos.
- Centralizar los registros de todos los controladores de dominio en un SIEM o en un servidor recolector es imprescindible para un análisis y una cobertura completos.
- Correlacionar los eventos de AD con los registros de auditoría de Microsoft Purview mediante campos comunes como UserPrincipalName y la dirección IP revela cronologías detalladas de ataques híbridos.
- Analizar estos registros correlacionados ayuda a detectar amenazas como ataques de fuerza bruta, casos de viaje imposible y cuentas de servicio comprometidas.
- Los informes automatizados sobre esta actividad son clave para demostrar diligencia en seguridad y cumplimiento ante auditores y partes interesadas.
Es muy recomendable auditar los inicios de sesión en el controlador de dominio y las actividades del registro de auditoría de Microsoft 365 como parte de tus procesos habituales de ciberseguridad. Correlacionar estas dos fuentes de datos da a los equipos de TI y a los proveedores de servicios gestionados (MSP) visibilidad total sobre los intentos de autenticación en entornos cloud e híbridos, lo que facilita la detección e investigación de incidentes y aporta información útil para demostrar el cumplimiento y responder a posibles brechas.
Esta guía explica cómo auditar los eventos de inicio de sesión de un controlador de dominio (DC) de Active Directory (AD), combinar esa información con los datos de actividad de Microsoft Purview y generar informes para su revisión y para fines de cumplimiento.
Qué necesitas para auditar los inicios de sesión en el controlador de dominio con datos de Microsoft 365 Purview
Para auditar los eventos de inicio de sesión en entornos cloud o híbridos en los que hay tanto controladores de dominio como actividades registradas en Microsoft Purview, necesitarás:
- Una cuenta administrativa con acceso a directivas de grupo para configurar las políticas de auditoría
- Un repositorio central donde consolidar y almacenar los registros, como un servidor de Windows Event Forwarding (WEF)/Windows Event Collector (WEC), o herramientas de gestión de eventos e información de seguridad (SIEM)
- Una lista de los controladores de dominio críticos, las unidades organizativas (OU) con privilegios y las cuentas de servicio que deben protegerse de forma activa
- Acceso al portal de auditoría de Microsoft 365 Purview y a los registros de inicio de sesión de Entra ID
- Una ventana de cambio aprobada para el despliegue y las pruebas de la política
Paso 1: configura las políticas de auditoría del controlador de dominio
Usa la Consola de administración de directivas de grupo (GPMC) para habilitar la directiva de auditoría avanzada.
- En la GPMC, ve a Configuración del equipo\Configuración de Windows\Configuración de seguridad\Directivas locales\Directiva de auditoría
- Haz doble clic en la política Auditar eventos de inicio de sesión para editarla y marca las casillas Correcto y Error para registrar tanto los inicios de sesión correctos como los intentos fallidos
- Ejecuta gpupdate /force o reinicia para aplicar el cambio y comprueba después que los eventos 4624 (correcto) y 4625 (error) se registran en el Visor de eventos
Los eventos de inicio de sesión solo se generan en el controlador de dominio para las cuentas de dominio. Si quieres auditar los inicios de sesión de dispositivos independientes con cuentas locales, tendrás que aplicar esta configuración de directiva de grupo y recopilar los registros de los endpoints con tu solución de monitorización y gestión remota (RMM) o de gestión de dispositivos móviles (MDM).
Paso 2: centraliza y conserva los registros de auditoría de autenticación
Consolida los registros de todos los controladores de dominio en una plataforma central para que no haya huecos de cobertura al analizar los datos de eventos. Puedes hacerlo con un servidor de Windows Event Forwarding (WEF)/Windows Event Collector (WEC) o con herramientas SIEM. También puedes aprovechar tu plataforma RMM automatizada para la ingesta y el análisis de registros y la generación de informes en distintos sistemas operativos.
Define los plazos de conservación de los registros según lo que exija el cumplimiento de las normativas de protección de datos y privacidad aplicables a tu organización y a cualquier parte sobre la que almacenes información.
Paso 3: enriquece los registros del controlador de dominio con los datos de auditoría de Microsoft 365 Purview
Si complementas los datos de auditoría de inicios de sesión de los controladores de dominio de Active Directory con las actividades recopiladas por Microsoft Purview, podrás seguir la actividad sospechosa de los usuarios con mucho más detalle. Para ello se correlacionan datos como el UserPrincipalName, la dirección IP y otros identificadores presentes en los registros de cloud y on-premises, con el fin de crear cronologías híbridas.
Paso 4: aplica filtros y busca correlaciones
Usa tus herramientas de analytics para detectar inicios de sesión fallidos recurrentes o accesos desde ubicaciones inesperadas. Presta atención también a cifras poco realistas de inicios de sesión correctos en una misma cuenta, ya que pueden indicar intentos de autenticación automatizados que han tenido éxito. Para que esto funcione, hay que incluir las cuentas de servicio en una lista de permitidos y evitar así los falsos positivos.
Paso 5: corrige y documenta la actividad de inicio de sesión sospechosa
Conviene configurar medidas de corrección automatizadas que desactiven automáticamente las cuentas potencialmente comprometidas o inactivas antes de poder iniciar una investigación.
Demuestra diligencia y cumplimiento ante las partes interesadas con resúmenes de auditoría generados automáticamente que incluyan métricas como el volumen de eventos, los errores únicos, el tiempo medio de investigación y las acciones administrativas realizadas (por ejemplo, endurecer las políticas de MFA y contraseñas o retirar cuentas inactivas).
NinjaOne unifica, automatiza y centraliza los informes de los registros de auditoría de AD
NinjaOne se puede configurar para ingerir automáticamente registros de cualquier origen, incluidos los registros de controladores de dominio de Windows, los eventos de Microsoft 365 Purview y los registros de software de terceros, y para analizarlos y resumirlos en informes listos para presentar. Los datos de registro y los informes pueden almacenarse después en NinjaOne Documentation, con acceso controlado, para obtener información a largo plazo y presentarla a las partes interesadas en las revisiones de negocio.
Además de unificar los registros y darte las herramientas para supervisar por completo la infraestructura de TI de tus clientes, NinjaOne integra las mejores soluciones del sector de MDM, RMM, helpdesk y seguridad de endpoints. Con toda la monitorización de endpoints e infraestructura en un mismo lugar, puedes asegurarte de que el técnico adecuado reciba el aviso de cualquier problema de seguridad o de cumplimiento para resolverlo de inmediato, con un rastro listo para auditoría de lo ocurrido y de cómo lo has solucionado.
