Belangrijkste punten
- Dit proces geeft u één samenhangend beeld van gebruikersauthenticatie en -activiteit in zowel on-premises Active Directory als cloud-based Microsoft 365.
- U moet eerst het auditbeleid via Groepsbeleid configureren en inschakelen op domein controllers om geslaagde en mislukte aanmeldgebeurtenissen te loggen.
- Het centraliseren van logs van alle domein controllers in een SIEM of collectorserver is essentieel voor volledige analyse en dekking.
- Door AD-gebeurtenissen te correleren met audittrails uit Microsoft Purview via gemeenschappelijke velden als UserPrincipalName en IP-adres, komen gedetailleerde, hybride aanvalstijdlijnen aan het licht.
- De analyse van deze gecorreleerde logs helpt bij het opsporen van dreigingen als brute-force-aanvallen, impossible travel-scenario’s en gecompromitteerde serviceaccounts.
- Geautomatiseerde rapportage over deze activiteit is cruciaal om auditors en stakeholders aan te tonen dat u zorgvuldig en compliant werkt.
Het is sterk aan te raden om aanmeldingen op domein controllers te auditen en ook de audittrail-activiteiten van Microsoft 365 mee te nemen in uw vaste cybersecurityprocessen. Door deze twee databronnen aan elkaar te koppelen, krijgen IT-teams en managed service providers (MSP’s) volledig zicht op authenticatiepogingen in cloud- en hybride omgevingen. Dat helpt bij het detecteren en onderzoeken van incidenten en levert tegelijk de informatie op waarmee u compliance aantoont en op mogelijke inbreuken reageert.
In deze handleiding leest u hoe u aanmeldgebeurtenissen van een Active Directory (AD) domein controller (DC) audit, deze informatie combineert met activiteitsgegevens uit Microsoft Purview en er rapporten van maakt voor controle en compliance.
Wat u nodig hebt om aanmeldingen op domein controllers te auditen met gegevens uit Microsoft 365 Purview
Om aanmeldgebeurtenissen te auditen in cloud- of hybride omgevingen waar zowel domein controllers als activiteiten in Microsoft Purview worden gelogd, hebt u het volgende nodig:
- Een beheerdersaccount met Groepsbeleid-rechten om auditbeleid te configureren
- Een centrale opslagplaats om logs samen te brengen en te bewaren, zoals een Windows Event Forwarding (WEF)/Windows Event Collector (WEC)-server of security information and event management (SIEM)-tools
- Een lijst met kritieke DC’s, bevoorrechte organisatie-eenheden (OU’s) en serviceaccounts die actief bewaakt moeten worden
- Toegang tot het Microsoft 365 Purview-auditportaal en de aanmeldingslogboeken van Entra ID
- Een goedgekeurd wijzigingsvenster voor het uitrollen en testen van het beleid
Stap 1: configureer het auditbeleid op de domein controller
Gebruik de Groepsbeleidsbeheerconsole (GPMC) om geavanceerd auditbeleid in te schakelen.
- Ga in GPMC naar Computerconfiguratie\Windows-instellingen\Beveiligingsinstellingen\Lokaal beleid\Auditbeleid
- Dubbelklik op het beleid Aanmeldingsgebeurtenissen controleren om het te bewerken en vink de selectievakjes Geslaagd en Mislukt aan, zodat zowel geslaagde aanmeldingen als pogingen tot overtreding worden vastgelegd
- Voer gpupdate /force uit of doe een reboot om de wijziging door te voeren en controleer daarna in Logboeken of de gebeurtenissen 4624 (geslaagd) en 4625 (mislukt) worden gelogd
Aanmeldgebeurtenissen worden alleen op de domein controller gegenereerd voor domeinaccounts. Wilt u aanmeldingen auditen op losstaande devices met lokale accounts, dan moet u deze groepsbeleidsinstelling uitrollen en de logs van endpoints verzamelen met uw oplossing voor monitoring en beheer op afstand (RMM) of beheer van mobiele apparaten (MDM).
Stap 2: centraliseer en bewaar de audittrails van authenticatie
Breng de logs van alle domein controllers samen op één centraal platform, zodat er bij de analyse van gebeurtenisgegevens geen gaten in de dekking ontstaan. Dat kan met een Windows Event Forwarding (WEF)/Windows Event Collector (WEC)-server of met SIEM-tools. U kunt ook uw geautomatiseerde RMM-platform inzetten om logs in te lezen, te analyseren en rapporten te genereren over verschillende besturingssystemen heen.
Stel de bewaartermijnen voor logs in op basis van wat nodig is voor compliance met de wet- en regelgeving rond gegevensbescherming en privacy die geldt voor uw organisatie en voor alle partijen over wie u informatie bewaart.
Stap 3: verrijk DC-logs met auditgegevens uit Microsoft 365 Purview
Door de auditgegevens over aanmeldingen van uw Active Directory-domein controllers aan te vullen met activiteiten die Microsoft Purview verzamelt, kunt u verdachte gebruikersactiviteit veel gedetailleerder volgen. Dat doet u door gegevens te correleren, zoals UserPrincipalName, IP-adres en andere identificatiekenmerken, in zowel cloud- als on-premises logs, zodat er hybride tijdlijnen ontstaan.
Stap 4: stel filters in en zoek naar verbanden
Gebruik uw analytics-tools om terugkerende mislukte aanmeldingen of aanmeldingen vanaf onverwachte locaties te herkennen. Let ook op onrealistisch hoge aantallen geslaagde aanmeldingen voor één account, want dat kan wijzen op geslaagde geautomatiseerde authenticatiepogingen. Om dit effectief te houden, moeten serviceaccounts op een whitelist staan, zodat u geen valse positieven krijgt.
Stap 5: herstel verdachte aanmeldactiviteit en rapporteer erover
Geautomatiseerde herstelmaatregelen kunt u zo configureren dat mogelijk gecompromitteerde of inactieve accounts automatisch worden uitgeschakeld voordat een onderzoek van start gaat.
Toon zorgvuldigheid en compliance aan bij stakeholders met automatisch gegenereerde auditsamenvattingen met daarin cijfers als het aantal gebeurtenissen, unieke mislukkingen, de gemiddelde onderzoekstijd en de ondernomen beheeracties (bijvoorbeeld het aanscherpen van MFA- of wachtwoordbeleid en het opheffen van inactieve accounts).
NinjaOne verenigt, automatiseert en centraliseert de rapportage van AD-audittrails
NinjaOne kan zo worden ingericht dat logs uit elke bron automatisch worden ingelezen – denk aan logs van Windows-domein controllers, Microsoft 365 Purview-gebeurtenissen en logs van software van derden – en vervolgens worden geanalyseerd en samengevat in presentatieklare rapporten. Loggegevens en rapporten kunt u daarna opslaan in NinjaOne Documentation met toegangscontrole, voor inzichten op de lange termijn en voor presentaties aan stakeholders tijdens business reviews.
NinjaOne brengt niet alleen uw logs samen en geeft u de tools voor volledig overzicht over de IT-infrastructuur van uw tenants, maar integreert ook MDM, RMM, helpdesk en eindpuntbeveiliging van topniveau. Met al uw endpoint- en infrastructuurmonitoring onder één dak weet u zeker dat de juiste technicus een melding krijgt van elk beveiligings- of complianceprobleem, zodat dit direct kan worden opgelost, met een auditklaar spoor van wat er gebeurd is en hoe u het probleem hebt verholpen.
