Registrar eventos de logon ou tentativas de logon com falha no Active Directory

Auditar tentativas de logon e logoff bem-sucedidas e falhadas no Active Directory é um elemento vital da segurança de identidade e de uma estratégia robusta de segurança de dados. Ser capaz de identificar se os usuários estão tentando, ou até mesmo logando com sucesso fora do horário comercial, por exemplo, ajudará você a detectar ameaças.

Neste blog, vamos passar pelo processo de auditoria de eventos de login e logoff usando o Visualizador de Eventos no Active Directory. Também falaremos brevemente sobre os desafios desse método e sugeriremos uma maneira melhor.

"Eventos de Logon de Auditoria" e "Eventos de Logon de Conta de Auditoria", destinados a monitorar os eventos de logon/logoff, estão desativados por padrão. É necessário habilitar essas políticas manualmente. Antes de aprender como habilitar essas políticas, é importante saber brevemente sobre elas.

Política de Eventos de Logon de Auditoria define a auditoria de cada tentativa de logon ou logoff de um usuário em um computador. Os eventos de logon de conta nos controladores de domínio são gerados para atividades de contas de domínio, enquanto esses eventos nos computadores locais são gerados para atividades de contas de usuário locais.

A política de Auditoria de Eventos de Logon de Conta define a auditoria de cada evento gerado em um computador, que é usado para validar as tentativas do usuário de fazer logon ou logoff em outro computador. Esses eventos de logon de conta são gerados e armazenados no controlador de domínio quando uma conta de usuário de domínio é autenticada nesse controlador de domínio. Para contas de usuário locais, esses eventos são gerados e armazenados no computador local quando um usuário local é autenticado nesse computador.

Passos para rastrear eventos de logon/desconexão no Active Directory:

• Passo 1 - Ativar 'Registrar Eventos de Logon'
• Passo 2 - Habilitar 'Auditar Eventos de Logon de Conta'
• Passo 3 - Pesquisar registros de eventos de logon e logoff relacionados no Visualizador de Eventos

Passo 1 - Ativar 'Registrar Eventos de Logon'

• • Execute o comando gpmc.msc para abrir o Console de Gerenciamento de Política de Grupo

• • Se você quiser aplicar isso em todo o domínio, então clique com o botão direito no Objeto de Domínio e clique em Criar um GPO neste domínio e vincule-o aqui….

Nota- Se você não quiser aplicar isso em todo o domínio, pode selecionar qualquer OU em vez de selecionar um domínio.

• • Escreva um novo nome de GPO conforme mostrado na imagem abaixo

• • Um novo GPO “Relatórios de Logon e Logoff” foi criado. Clique com o botão direito nisso e clique na opção Editar

• • Uma nova janela do Editor de Gerenciamento de Políticas de Grupo (GPME) será aberta.
  • Agora, sob Configuração do Computador, vá para o nó de Políticas e expanda-o como
    Políticas -> Configurações do Windows -> Configurações de Segurança -> Políticas Locais -> Política de Auditoria
  • No painel da direita do GPME, ou clique duas vezes em “Eventos de logon de auditoria” ou clique com o botão direito -> Propriedades em “Eventos de logon de auditoria”
  • Uma nova janela de “Propriedades do log de auditoria de logon” será aberta. Marque as caixas “Sucesso” e “Falha” e clique em “Ok”

• Agora, execute gpupdate /force para atualizar a GPO

Agora, temos habilitado com sucesso os "Eventos de Registro de Auditoria"

Etapa 2 - Habilitar 'Auditar Eventos de Logon de Conta'

• • Execute o comando gpmc.msc para abrir o Console de Gerenciamento de Política de Grupo.

• • Agora, expanda o nó Controladores de Domínio, clique com o botão direito na “Política de Controladores de Domínio Padrão” e clique em “Editar”.

Nota- Você também pode criar sua própria GPO como fizemos para "Eventos de Logon de Auditoria" caso não queira editar a Política de Controladores de Domínio Padrão.

• • Uma nova janela do Editor de Gerenciamento de Políticas de Grupo (GPME) será aberta.
  • Nas janelas do GPME, expanda a Configuração do Computador, vá para o nó “Políticas” e expanda-o como Políticas -> Configurações do Windows -> Configurações de Segurança -> Políticas Locais -> Política de Auditoria
  • No painel direito do GPME, ou clique duas vezes em "Auditar eventos de logon de conta" ou clique com o botão direito -> Propriedades em "Auditar eventos de logon de conta"
  • Uma nova janela de propriedades de "Registrar eventos de logon de conta" será aberta. Marque as caixas "Sucesso" e "Falha" e clique em "OK"

• Agora, execute gpupdate /force para atualizar a GPO

Agora, habilitamos com sucesso "Auditar eventos de logon da conta"

Passo 3 - Pesquisar Logs de Eventos de Logon e Logoff Relacionados no Visualizador de Eventos

Os IDs de eventos para "Eventos de logon de auditoria" e "Eventos de logon de conta de auditoria" são fornecidos abaixo. Você deve verificar esses IDs de eventos nos logs de segurança para rastrear logons/logoffs bem-sucedidos e tentativas de login falhadas.

Eventos de Logon de Auditoria

Auditar eventos de logon de conta

*Sistema Operacional para os IDs acima - Windows Server 2008 ou superior

Caso de Teste – Aqui, vamos pesquisar ID do Evento 4625 para rastrear logins falhos no Active Directory.

1. Vá para o "Menu Iniciar" ➔ "Todos os Programas" ➔ "Ferramentas Administrativas" ➔ "Visualizador de Eventos"
2. No painel à esquerda, vá para Logs do Windows ➔ Segurança para ver os logs de segurança → Clique em 'Filtrar Log Atual..'
3. Digite o ID do evento 4625 para procurá-lo
4. 4. Clique duas vezes no evento para ver os detalhes, como o nome da conta, a data e a hora da falha de login.

Problemas com Auditoria Nativa

A auditoria nativa do Active Directory tem várias desvantagens. Múltiplos eventos são gerados para um único evento e é muito difícil pesquisar um evento específico em um grande número de eventos. O Visualizador de Eventos também consome muito espaço em disco para armazenar os eventos a longo prazo.

Todo o procedimento mencionado acima para auditar Logon/Logoff bem-sucedidos e falhados no Active Directory pode ser simplificado com a ajuda do Lepide Active Directory Auditor. Com isso, você pode tornar todo o processo de auditoria simples e, assim, ajudar a manter um ambiente de AD seguro.

Como o Lepide Active Directory Auditor rastreia Logon/Logoff no Active Directory

O Lepide Auditor para Active Directory supera as limitações da auditoria nativa e fornece uma maneira mais fácil de rastrear todas as atividades de logon/logoff dos usuários do Active Directory. Veja abaixo um exemplo tanto de atividades de logon/logoff bem-sucedidas quanto de logins malsucedidos.

Figura 1: Relatório de Logon e Logoff bem-sucedido do Usuário

A Lepide também facilita a identificação de comportamentos de usuário potencialmente indesejados ao relatar quando seus usuários do Active Directory estão se conectando ao Active Directory fora do horário comercial.

Figura 3: Relatório de Tentativas de Logon Falhadas Fora do Horário Comercial

O Lepide é incrivelmente simples de instalar e configurar e oferece valor imediato por meio de centenas de relatórios pré-definidos. Agende uma demonstração com um de nossos engenheiros hoje.