Smetti di reagire alle situazioni e prendi il controllo. Scopri come passare a una strategia di gestione IT proattiva con la nostra guida passo per passo. Inizia subito.
Ti consigliamo vivamente di monitorare gli accessi ai domain controller e le attività di log di Microsoft 365 nell’ambito delle procedure di sicurezza informatica di routine. La correlazione di queste due fonti di dati offre ai team IT e ai fornitori di servizi gestiti (MSP) una visibilità completa sui tentativi di autenticazione negli ambienti cloud e ibridi, facilitando il rilevamento e l’analisi degli incidenti, oltre a fornire informazioni utili per dimostrare la conformità e rispondere a potenziali violazioni.
Questa guida illustra come effettuare l’audit degli eventi di accesso da un domain controller (DC) di Active Directory (AD), come combinare queste informazioni con i dati sulle attività provenienti da Microsoft Purview e generare report a fini di revisione e conformità.
Cosa serve per eseguire un audit degli accessi al domain controller utilizzando i dati di Microsoft 365 Purview
Per monitorare gli eventi di accesso in ambienti cloud o ibridi in cui sono presenti sia domain controller sia attività registrate in Microsoft Purview, è necessario:
- Un account amministrativo con accesso ai Criteri di Gruppo per configurare i criteri di controllo
- Un repository centrale per il consolidamento e l’archiviazione dei log, come il server Windows Event Forwarding (WEF)/Windows Event Collector (WEC) o gli strumenti SIEM (Security Information and Event Management)
- Un elenco di DC critici, unità organizzative (OU) con privilegi e account di servizio che devono essere protetti attivamente
- Accesso al portale di audit di Microsoft 365 Purview e ai registri di accesso di Entra ID
- Un periodo di tempo prestabilito per l’implementazione e il collaudo dei criteri
Fase 1: Configurare i criteri di controllo del domain controller
Utilizza la Console di gestione dei criteri di gruppo (GPMC) per abilitare i criteri di controllo avanzati.
- In GPMC, accedi a Configurazione computer\Impostazioni di Windows\Impostazioni di sicurezza\Criteri locali\Criteri di controllo
- Fai doppio clic su Controlla i log di accesso per modificarli, quindi seleziona le caselle di controllo Riuscito e Fallito per registrare sia gli accessi riusciti che i tentativi di violazione
- Esegui il comando gpupdate /force oppure riavvia il sistema per applicare la modifica; quindi verificare che gli eventi 4624 (riuscito) e 4625 (fallito) siano registrati nel Visualizzatore eventi .
Gli eventi di accesso vengono generati solo sul domain controller per gli account del dominio. Se vuoi monitorare gli accessi ai dispositivi autonomi che utilizzano account locali, dovrai applicare questa impostazione dei criteri di gruppo e raccogliere i log dagli endpoint tramite la tua soluzione di monitoraggio e gestione remota (RMM) o la soluzione di gestione dei dispositivi mobili (MDM).
Fase 2: Centralizzare e conservare i registri di controllo delle autenticazioni
Centralizza i log di tutti i domain controller in un’unica piattaforma per garantire che non vi siano lacune nella copertura durante l’analisi dei dati relativi agli eventi. Puoi farlo utilizzando il server Windows Event Forwarding (WEF)/Windows Event Collector (WEC) o strumenti SIEM. Puoi anche sfruttare la tua piattaforma RMM automatizzata per l’acquisizione dei log, l’analisi e la generazione di report su diversi sistemi operativi.
Imposta i tempi di conservazione dei log in base a quanto necessario per garantire la conformità alle normative in materia di protezione dei dati e privacy applicabili alla tua organizzazione e a tutte le parti di cui conservi informazioni.
Fase 3: Arricchire i log di DC con i dati di auditing di Microsoft 365 Purview
Integrando i dati di controllo degli accessi provenienti dai domain controller di Active Directory con le attività raccolte da Microsoft Purview, puoi monitorare in modo più dettagliato le attività sospette degli utenti. Ciò avviene mettendo in correlazione i dati, tra cui UserPrincipalName, indirizzo IP e altri identificatori presenti nei log sia nel cloud che in locale, al fine di creare cronologie ibride.
Fase 4: Implementare filtri e individuare correlazioni
Utilizza i tuoi strumenti di analisi per individuare accessi falliti ricorrenti o accessi provenienti da località inattese. Presta anche attenzione a un numero anomalo di accessi riusciti a un account, che potrebbe indicare tentativi di autenticazione automatizzata andati a buon fine. Affinché ciò sia efficace, gli account di servizio dovrebbero essere inseriti nella whitelist per evitare falsi positivi.
Fase 5: Risolvere e segnalare attività di accesso sospette
Le misure di correzione automatizzate dovrebbero essere configurate in modo da disattivare automaticamente gli account potenzialmente compromessi o inattivi prima che possa essere avviata un’indagine.
Dimostra agli stakeholder la tua diligenza e conformità tramite riepiloghi di audit generati automaticamente che includono metriche quali il volume degli eventi, i guasti unici, il tempo medio necessario per l’analisi e le azioni amministrative intraprese (ad esempio, l’inasprimento delle politiche relative all’autenticazione a più fattori (MFA) e alle password e la disattivazione degli account inattivi).
NinjaOne unifica, automatizza e centralizza la generazione dei report relativi ai log di audit di AD
NinjaOne può essere configurato per acquisire automaticamente i log da qualsiasi fonte, inclusi i log dei domain controller Windows, gli eventi di Microsoft 365 Purview e i log di software di terze parti, per poi analizzarli e sintetizzarli in report pronti per la presentazione. Puoi, quindi, archiviare i dati dei log e i report nella documentazione di NinjaOne, protetta da controlli di accesso, per consentire analisi a lungo termine e per essere presentati alle parti interessate durante le riunioni di revisione aziendale.
Oltre a unificare i log e a fornirti gli strumenti necessari per una supervisione completa dell’infrastruttura IT dei tuoi tenant, NinjaOne integra le migliori soluzioni del settore: MDM, RMM, un servizio di helpdesk e la sicurezza degli endpoint. Grazie alla gestione centralizzata del monitoraggio di tutti i tuoi endpoint e dell’infrastruttura, potrai garantire che il tecnico responsabile venga informato di eventuali problemi di sicurezza o di conformità, in modo che possa risolverli immediatamente, con una traccia verificabile di ciò che è accaduto e delle misure adottate per risolvere il problema.
