Pontos principais
- Esse processo dá visibilidade unificada da autenticação e da atividade dos usuários no Active Directory local e no Microsoft 365 na nuvem.
- Primeiro é preciso configurar e ativar as políticas de auditoria da Política de Grupo nos Controladores de Domínio para registrar os eventos de logon com êxito e com falha.
- Centralizar os logs de todos os Controladores de Domínio em um SIEM ou servidor coletor é essencial para ter análise e cobertura completas.
- Correlacionar os eventos do AD com os logs de auditoria do Microsoft Purview por campos comuns, como UserPrincipalName e endereço IP, revela linhas do tempo híbridas detalhadas dos ataques.
- A análise desses logs correlacionados ajuda a detectar ameaças como ataques de força bruta, cenários de viagem impossível e contas de serviço comprometidas.
- Relatórios automatizados sobre essa atividade são fundamentais para demonstrar diligência de segurança e conformidade a auditores e partes interessadas.
É altamente recomendável auditar os logons nos Controladores de Domínio e as atividades do log de auditoria do Microsoft 365 como parte dos processos de cibersegurança de rotina. Correlacionar essas duas fontes de dados dá às equipes de TI e aos provedores de serviços gerenciados (MSPs) visibilidade total sobre as tentativas de autenticação em ambientes de nuvem e híbridos. Isso ajuda na detecção e na investigação de incidentes, além de fornecer as informações usadas para comprovar conformidade e responder a possíveis violações.
Este guia mostra como auditar eventos de login de um Controlador de Domínio (DC) do Active Directory (AD), combinar essas informações com dados de atividade do Microsoft Purview e gerar relatórios para revisão e conformidade.
O que é necessário para auditar logons nos Controladores de Domínio com dados do Microsoft 365 Purview
Para auditar eventos de logon em ambientes de nuvem ou híbridos que têm tanto Controladores de Domínio quanto atividades registradas no Microsoft Purview, é preciso ter:
- uma conta administrativa com acesso à Política de Grupo para configurar as políticas de auditoria
- um repositório central para consolidar e armazenar logs, como um servidor Windows Event Forwarding (WEF)/Windows Event Collector (WEC) ou ferramentas de gerenciamento de informações e eventos de segurança (SIEM)
- uma lista dos DCs críticos, das unidades organizacionais (OUs) privilegiadas e das contas de serviço que devem ser protegidas ativamente
- acesso ao portal de auditoria do Microsoft 365 Purview e aos logs de entrada do Entra ID
- uma janela de mudança aprovada para a implantação e os testes da política
Etapa 1: configure as políticas de auditoria do Controlador de Domínio
Use o Console de Gerenciamento de Política de Grupo (GPMC) para ativar a Política de Auditoria Avançada.
- No GPMC, vá até Configuração do Computador\Configurações do Windows\Configurações de Segurança\Políticas Locais\Política de Auditoria
- Dê um duplo clique na política Auditar eventos de logon para editá-la e marque as caixas Êxito e Falha, para capturar tanto os logins bem-sucedidos quanto as tentativas de violação
- Execute gpupdate /force ou reinicie para aplicar a mudança e confirme se os eventos 4624 (êxito) e 4625 (falha) estão sendo registrados no Visualizador de Eventos
Os eventos de logon só são gerados no Controlador de Domínio para contas de domínio. Para auditar logins de dispositivos autônomos que usam contas locais, é preciso aplicar essa configuração de política de grupo e coletar os logs dos endpoints com a solução de monitoramento e gerenciamento remoto (RMM) ou gerenciamento de dispositivos móveis (MDM).
Etapa 2: centralize e retenha os logs de auditoria de autenticação
Consolide os logs de todos os Controladores de Domínio em uma plataforma central para não deixar lacunas de cobertura na análise dos dados de eventos. Isso pode ser feito com um servidor Windows Event Forwarding (WEF)/Windows Event Collector (WEC) ou com ferramentas SIEM. Também é possível aproveitar a plataforma de RMM automatizada para a ingestão de logs, a análise e a geração de relatórios em diferentes sistemas operacionais.
Defina os prazos de retenção de logs conforme o necessário para atender às regulamentações de proteção de dados e privacidade que se aplicam à organização e a quaisquer terceiros sobre os quais você armazena informações.
Etapa 3: enriqueça os logs do DC com os dados de auditoria do Microsoft 365 Purview
Ao complementar os dados de auditoria de logon dos Controladores de Domínio do Active Directory com atividades coletadas pelo Microsoft Purview, você acompanha atividades suspeitas de usuários com muito mais detalhe. Para isso, correlacione dados como UserPrincipalName, endereço IP e outros identificadores entre os logs de nuvem e locais, criando linhas do tempo híbridas.
Etapa 4: aplique filtros e encontre correlações
Use suas ferramentas de análise para identificar logins com falha recorrentes ou logins de locais inesperados. Fique atento também a números irreais de logins bem-sucedidos em uma conta, que podem indicar tentativas de autenticação automatizadas bem-sucedidas. Para que isso funcione, as contas de serviço devem entrar em uma lista de permissões, evitando falsos positivos.
Etapa 5: corrija e relate atividades de logon suspeitas
Configure medidas de correção automatizadas para desativar automaticamente contas possivelmente comprometidas ou inativas antes mesmo do início de uma investigação.
Comprove diligência e conformidade às partes interessadas com resumos de auditoria gerados automaticamente, incluindo métricas como volume de eventos, falhas exclusivas, tempo médio de investigação e ações administrativas realizadas (por exemplo, políticas de MFA/senha mais rígidas e desativação de contas inativas).
NinjaOne unifica, automatiza e centraliza os relatórios de logs de auditoria do AD
NinjaOne pode ser configurado para ingerir automaticamente logs de qualquer origem — logs de Controladores de Domínio Windows, eventos do Microsoft 365 Purview e logs de softwares de terceiros — e analisá-los e resumi-los em relatórios prontos para apresentação. Depois, os dados de log e os relatórios podem ficar armazenados no NinjaOne Documentation com controle de acesso, servindo de insight de longo prazo e material para apresentar às partes interessadas em revisões de negócios.
Além de unificar logs e oferecer as ferramentas para supervisionar toda a infraestrutura de TI dos seus tenants, NinjaOne integra MDM, RMM, helpdesk e segurança de endpoint de primeira linha. Com todo o monitoramento de endpoints e infraestrutura em um só lugar, você garante que o técnico certo seja avisado de qualquer problema de segurança ou conformidade e possa resolvê-lo imediatamente, com uma trilha pronta para auditoria do que aconteceu e de como o problema foi corrigido.
