Auditar cambios de servicio de directorio

  • Artículo

Audit Directory Service Changes determina si el sistema operativo genera eventos de auditoría cuando se realizan cambios en los objetos de Servicios de dominio de Active Directory (AD DS).

La auditoría de objetos de servicio de directorio puede proporcionar información sobre las propiedades antiguas y nuevas de los objetos que se cambiaron.

Los eventos de auditoría solo se generan para objetos con listas de control de acceso del sistema (SACL) configuradas y solo cuando se accede a ellos de forma que coincida con su configuración de SACL . Algunos objetos y propiedades no hacen que se generen eventos de auditoría debido a la configuración de la clase de objeto en el esquema.

Esta subcategoría solo registra eventos en controladores de dominio.

Volumen de eventos: alto en controladores de dominio.

Esta subcategoría desencadena eventos cuando se ha modificado, creado, recuperado, movido o eliminado un objeto de Active Directory.

Tipo de equipo Éxito general Error general Mayor éxito Error más fuerte Observaciones
Controlador de dominio Sí No Sí No Es importante realizar un seguimiento de las acciones relacionadas con objetos de Active Directory críticos o de alto valor, por ejemplo, cambios en los objetos del contenedor AdminSDHolder o del grupo Administradores de dominio.
Esta subcategoría muestra qué acciones se realizaron. Si desea realizar un seguimiento de los intentos de acceso erróneos de los objetos de Active Directory, debe echar un vistazo a la subcategoría Audit Directory Service Access .
Para obtener recomendaciones para usar y analizar la información recopilada, consulte las secciones Recomendaciones de supervisión de seguridad . Además, desarrolle una directiva de auditoría de Active Directory (diseño sacl para clases específicas, tipos de operaciones que deben supervisarse para unidades organizativas específicas, etc.) para que pueda auditar solo los intentos de acceso realizados a objetos importantes específicos.
Esta subcategoría no tiene eventos Failure, por lo que no hay ninguna recomendación para habilitar la auditoría de errores para esta subcategoría.
Servidor miembro No No No No Esta subcategoría tiene sentido solo en controladores de dominio.
Estación No No No No Esta subcategoría tiene sentido solo en controladores de dominio.

Lista de eventos:

  • 5136(S): se modificó un objeto de servicio de directorio.

  • 5137(S): se creó un objeto de servicio de directorio.

  • 5138(S): se ha recuperado un objeto de servicio de directorio.

  • 5139(S): se ha movido un objeto de servicio de directorio.

  • 5141(S): se eliminó un objeto de servicio de directorio.