Configurare i criteri di controllo per i log eventi di Windows

Per migliorare i rilevamenti e raccogliere altre informazioni sulle azioni degli utenti, ad esempio accessi NTLM e modifiche ai gruppi di sicurezza, Microsoft Defender per identità si basa su voci specifiche nei registri eventi di Windows. La configurazione corretta delle impostazioni dei criteri di controllo avanzati nei controller di dominio è fondamentale per evitare lacune nei registri eventi e la copertura incompleta di Defender per identità.

Questo articolo descrive come configurare le impostazioni dei criteri di controllo avanzati in base alle esigenze per un sensore defender per identità. Descrive anche altre configurazioni per tipi di evento specifici.

Defender per identità genera problemi di integrità per ognuno di questi scenari, se rilevati. Per altre informazioni, vedere Microsoft Defender per identità problemi di integrità.

Prerequisiti

• Prima di eseguire i comandi di PowerShell defender per identità, assicurarsi di aver scaricato il modulo PowerShell defender per identità.

Generare un report delle configurazioni correnti tramite PowerShell

Prima di iniziare a creare nuovi criteri di controllo ed eventi, è consigliabile eseguire il comando PowerShell seguente per generare un report delle configurazioni di dominio correnti:

New-MDIConfigurationReport [-Path] <String> [-Mode] <String> [-OpenHtmlReport]

Nel comando precedente:

• Path specifica il percorso in cui salvare i report.
• Mode specifica se si desidera utilizzare Domain o LocalMachine la modalità. In Domain modalità, le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In LocalMachine modalità, le impostazioni vengono raccolte dal computer locale.
• OpenHtmlReport apre il report HTML dopo la generazione del report.

Ad esempio, per generare un report e aprirlo nel browser predefinito, eseguire il comando seguente:

New-MDIConfigurationReport -Path "C:\Reports" -Mode Domain -OpenHtmlReport

Per altre informazioni, vedere le informazioni di riferimento su PowerShell per DefenderforIdentity.

Suggerimento

Il Domain report in modalità include solo le configurazioni impostate come criteri di gruppo nel dominio. Se sono presenti impostazioni definite localmente nei controller di dominio, è consigliabile eseguire anche lo script Test-MdiReadiness.ps1 .

Configurare il controllo per i controller di dominio

Aggiornare le impostazioni dei criteri di controllo avanzati e le configurazioni aggiuntive per eventi e tipi di eventi specifici, ad esempio utenti, gruppi, computer e altro ancora. Le configurazioni di controllo per i controller di dominio includono:

• Impostazioni avanzate dei criteri di controllo
• Controllo NTLM
• Controllo degli oggetti di dominio

Per altre informazioni, vedere Domande frequenti sul controllo della sicurezza avanzata.

Usare le procedure seguenti per configurare il controllo sui controller di dominio usati con Defender per identità.

Configurare le impostazioni dei criteri di controllo avanzati dall'interfaccia utente

Questa procedura descrive come modificare le impostazioni dei criteri di controllo avanzati del controller di dominio in base alle esigenze di Defender per identità tramite l'interfaccia utente.

Problema di integrità correlato: Il controllo avanzato di Servizi directory non è abilitato in base alle esigenze

Per configurare le impostazioni dei criteri di controllo avanzati:

1. Accedere al server come amministratore di dominio.

2. Aprire l'Editor Gestione Criteri di gruppo da Gestione Criteri di gruppo degli strumenti>di Server Manager>.

3. Espandere Unità organizzative controller di dominio, fare clic con il pulsante destro del mouse su Criteri controller di dominio predefiniti e quindi scegliere Modifica.

   

   Nota

   Usare i criteri Controller di dominio predefiniti o un oggetto Criteri di gruppo dedicato per impostare questi criteri.

4. Nella finestra visualizzata passare a Criteri>di configurazione>computer Impostazioni di windows Impostazioni> di sicurezza. A seconda dei criteri da abilitare, eseguire le operazioni seguenti:

   1. Passare a Criteri di controllo avanzati Criteri di>controllo Criteri di controllo.

      

   2. In Criteri di controllo modificare ognuno dei criteri seguenti e selezionare Configura gli eventi di controllo seguenti per gli eventi Success e Failure.

      Criteri di controllo	Sottocategoria	ID evento trigger
      Accesso account	Controllo convalida credenziali	4776
      Gestione dell'account	Controllo della gestione degli account del computer*	4741, 4743
      Gestione dell'account	Controllo della gestione dei gruppi di distribuzione*	4753, 4763
      Gestione dell'account	Controllo della gestione dei gruppi di sicurezza*	4728, 4729, 4730, 4732, 4733, 4756, 4757, 4758
      Gestione dell'account	Controllo della gestione di account utente	4726
      Accesso DS	Controllo delle modifiche al servizio directory*	5136
      Di sistema	Controllo dell’estensione del sistema di sicurezza*	7045
      Accesso DS	Controllo dell'accesso al servizio directory	4662 - Per questo evento, è necessario configurare anche il controllo degli oggetti di dominio.

      Nota

      * Le sottocategorie annotate non supportano gli eventi di errore. Tuttavia, è consigliabile aggiungerli a scopo di controllo nel caso in cui vengano implementati in futuro. Per altre informazioni, vedere Audit Computer Account Management, Audit Security Group Management e Audit Security System Extension.For more information, see Audit Computer Account Management, Audit Security Group Management, and Audit Security System Extension.

      Ad esempio, per configurare Audit Security Group Management, in Gestione account fare doppio clic su Controlla gestione gruppo di sicurezza e quindi selezionare Configura gli eventi di controllo seguenti per gli eventi Success e Failure.

      

5. Da un prompt dei comandi con privilegi elevati immettere gpupdate.

6. Dopo aver applicato il criterio tramite l'oggetto Criteri di gruppo, è necessario che i nuovi eventi vengano visualizzati nella Visualizzatore eventi, in Sicurezza dei log>di Windows.

Per testare i criteri di controllo dalla riga di comando, eseguire il comando seguente:

auditpol.exe /get /category:*

Per altre informazioni, vedere la documentazione di riferimento di auditpol.

Configurare le impostazioni dei criteri di controllo avanzati tramite PowerShell

Le azioni seguenti descrivono come modificare le impostazioni dei criteri di controllo avanzati del controller di dominio in base alle esigenze di Defender per identità tramite PowerShell.

Problema di integrità correlato: Il controllo avanzato di Servizi directory non è abilitato in base alle esigenze

Per configurare le impostazioni, eseguire:

Set-MDIConfiguration [-Mode] <String> [-Configuration] <String[]> [-CreateGpoDisabled] [-SkipGpoLink] [-Force]

Nel comando precedente:

• Mode specifica se si desidera utilizzare Domain o LocalMachine la modalità. In Domain modalità, le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In LocalMachine modalità, le impostazioni vengono raccolte dal computer locale.
• Configuration specifica la configurazione da impostare. Usare All per impostare tutte le configurazioni.
• CreateGpoDisabled specifica se gli oggetti Criteri di gruppo vengono creati e mantenuti come disabilitati.
• SkipGpoLink specifica che i collegamenti oggetto Criteri di gruppo non vengono creati.
• Force specifica che la configurazione è impostata o gli oggetti Criteri di gruppo vengono creati senza convalidare lo stato corrente.

Per visualizzare i criteri di controllo, usare il Get-MDIConfiguration comando per visualizzare i valori correnti:

Get-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>

Nel comando precedente:

• Mode specifica se si desidera utilizzare Domain o LocalMachine la modalità. In Domain modalità, le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In LocalMachine modalità, le impostazioni vengono raccolte dal computer locale.
• Configuration specifica la configurazione da ottenere. Usare All per ottenere tutte le configurazioni.

Per testare i criteri di controllo, usare il Test-MDIConfiguration comando per ottenere una true risposta o false per verificare se i valori sono configurati correttamente:

Test-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>

Nel comando precedente:

• Mode specifica se si desidera utilizzare Domain o LocalMachine la modalità. In Domain modalità, le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In LocalMachine modalità, le impostazioni vengono raccolte dal computer locale.
• Configuration specifica la configurazione da testare. Usare All per testare tutte le configurazioni.

Per altre informazioni, vedere i riferimenti a PowerShell di DefenderForIdentity seguenti:

• Set-MDIConfiguration
• Get-MDIConfiguration
• Test-MDIConfiguration

Configurare il controllo NTLM

Questa sezione descrive i passaggi di configurazione aggiuntivi necessari per il controllo dell'evento di Windows 8004.

Nota

• I criteri di gruppo di dominio per raccogliere l'evento 8004 di Windows devono essere applicati solo ai controller di dominio.
• Quando un sensore defender per identità analizza l'evento di Windows 8004, le attività di autenticazione NTLM di Defender per identità vengono arricchite con i dati a cui si accede al server.

Problema di integrità correlato: il controllo NTLM non è abilitato

Per configurare il controllo NTLM:

1. Dopo aver configurato le impostazioni iniziali dei criteri di controllo avanzato (tramite l'interfaccia utente o PowerShell), aprire Gestione Criteri di gruppo. Passare quindi a Criteri locali Criteri>>di dominio predefiniti Opzioni di sicurezza.

2. Configurare i criteri di sicurezza specificati come segue:

   Impostazione dei criteri di sicurezza	Valore
   Sicurezza di rete: Limitare NTLM: traffico NTLM in uscita verso server remoti	Controlla tutto
   Sicurezza di rete: Limita NTLM: controlla l'autenticazione NTLM in questo dominio	Abilita tutti
   Sicurezza di rete: Limita NTLM: controlla il traffico NTLM in ingresso	Abilitare il controllo per tutti gli account

Ad esempio, per configurare il traffico NTLM in uscita verso i server remoti, in Opzioni di sicurezza fare doppio clic su Sicurezza di rete: Limitare il traffico NTLM in uscita ai server remoti e quindi selezionare Controlla tutto.

Configurare il controllo degli oggetti di dominio

Per raccogliere eventi per le modifiche agli oggetti, ad esempio per l'evento 4662, è necessario configurare anche il controllo degli oggetti nell'utente, nel gruppo, nel computer e in altri oggetti. La procedura seguente descrive come abilitare il controllo nel dominio di Active Directory.

Importante

Esaminare e controllare i criteri (tramite l'interfaccia utente o PowerShell) prima di abilitare la raccolta di eventi, per assicurarsi che i controller di dominio siano configurati correttamente per registrare gli eventi necessari. Se questo controllo è configurato correttamente, dovrebbe avere un effetto minimo sulle prestazioni del server.

Problema di integrità correlato: Il controllo oggetti di Directory Services non è abilitato come richiesto

Per configurare il controllo degli oggetti di dominio:

1. Passare alla console di Utenti e computer di Active Directory.

2. Selezionare il dominio da controllare.

3. Selezionare il menu Visualizza e quindi Selezionare Funzionalità avanzate.

4. Fare clic con il pulsante destro del mouse sul dominio e scegliere Proprietà.

   

5. Passare alla scheda Sicurezza e quindi selezionare Avanzate.

   

6. In Impostazioni di sicurezza avanzate selezionare la scheda Controllo e quindi selezionare Aggiungi.

   

7. Scegliere Seleziona un'entità.

   

8. In Immettere il nome dell'oggetto da selezionare immettere Tutti. Selezionare quindi Controlla nomi>OK.

   

9. Si torna quindi a Voce di controllo. Effettuare le selezioni seguenti:

   1. In Tipo selezionare Operazione riuscita.

   2. Per Si applica a, selezionare Oggetti Utente discendente.

   3. In Autorizzazioni scorrere verso il basso e selezionare il pulsante Cancella tutto .

      

   4. Scorrere il backup e selezionare Controllo completo. Vengono selezionate tutte le autorizzazioni.

   5. Deselezionare la selezione per il contenuto dell'elenco, Leggere tutte le proprietà e Autorizzazioni lettura e quindi selezionare OK. Questo passaggio imposta tutte le impostazioni proprietà su Write.

      

      A questo punto, tutte le modifiche rilevanti ai servizi directory vengono visualizzate come 4662 eventi quando vengono attivati.

10. Ripetere i passaggi di questa procedura, ma per Si applica a, selezionare i tipi di oggetto seguenti:

    • Oggetti gruppo discendente
    • Oggetti computer discendenti
    • Descendant msDS-GroupManagedServiceAccount Objects
    • Oggetti msDS-ManagedServiceAccount discendenti

Nota

L'assegnazione delle autorizzazioni di controllo per Tutti gli oggetti discendenti funziona anche, ma sono necessari solo i tipi di oggetto descritti in dettaglio nell'ultimo passaggio.

Configurare il controllo in AD FS

Problema di integrità correlato: il controllo nel contenitore AD FS non è abilitato in base alle esigenze

Per configurare il controllo in Active Directory Federation Services (AD FS):

1. Passare alla console Utenti e computer di Active Directory e selezionare il dominio in cui si vogliono abilitare i log.

2. Passare a Dati>programma Microsoft>ADFS.

   

3. Fare clic con il pulsante destro del mouse su ADFS e scegliere Proprietà.

4. Passare alla scheda Sicurezza e selezionare Impostazioni>avanzate di sicurezza. Passare quindi alla scheda Controllo e selezionare Aggiungi>Selezionare un'entità.

5. In Immettere il nome dell'oggetto da selezionare immettere Tutti. Selezionare quindi Controlla nomi>OK.

6. Si torna quindi a Voce di controllo. Effettuare le selezioni seguenti:

   • Per Type (Tipo), selezionare All (Tutti).
   • Per Si applica a, selezionare Questo oggetto e tutti gli oggetti discendenti.
   • In Autorizzazioni scorrere verso il basso e selezionare Cancella tutto. Scorrere verso l'alto e selezionare Leggi tutte le proprietà e Scrivi tutte le proprietà.

   

7. Seleziona OK.

Configurare la registrazione dettagliata per gli eventi AD FS

I sensori in esecuzione nei server AD FS devono avere il livello di controllo impostato su Dettagliato per gli eventi pertinenti. Ad esempio, usare il comando seguente per configurare il livello di controllo su Dettagliato:

Set-AdfsProperties -AuditLevel Verbose

Configurare il controllo in Servizi certificati Active Directory

Se si usa un server dedicato con Servizi certificati Active Directory (AD CS) configurato, configurare il controllo come indicato di seguito per visualizzare avvisi dedicati e report di Secure Score:

1. Creare criteri di gruppo da applicare al server servizi certificati Active Directory. Modificarlo e configurare le impostazioni di controllo seguenti:

   1. Passare a Configurazione computer\Criteri\Impostazioni di Windows\Impostazioni di sicurezza\Configurazione avanzata criteri di controllo\Criteri di controllo\Accesso agli oggetti\Controlla servizi di certificazione.

   2. Selezionare le caselle di controllo per configurare gli eventi di controllo per Operazione riuscita e Errore.

      

2. Configurare il controllo nell'autorità di certificazione (CA) usando uno dei metodi seguenti:

   • Per configurare il controllo ca tramite la riga di comando, eseguire:

     certutil –setreg CA\AuditFilter 127 
     
     
     net stop certsvc && net start certsvc
     

   • Per configurare il controllo ca tramite l'interfaccia utente grafica:

     1. Selezionare Avvia>autorità di certificazione (applicazione desktop MMC). Fare clic con il pulsante destro del mouse sul nome della CA e scegliere Proprietà.

        

     2. Selezionare la scheda Controllo , selezionare tutti gli eventi da controllare e quindi selezionare Applica.

        

Nota

La configurazione del controllo degli eventi di Servizi certificati Active Directory Start e Stop potrebbe causare ritardi di riavvio quando si sta gestendo un database di Servizi certificati Active Directory di grandi dimensioni. Provare a rimuovere voci irrilevanti dal database. In alternativa, non abilitare questo tipo specifico di evento.

Configurare il controllo in Microsoft Entra Connect

Per configurare il controllo nei server Microsoft Entra Connect:

• Creare criteri di gruppo da applicare ai server Microsoft Entra Connect. Modificarlo e configurare le impostazioni di controllo seguenti:

  1. Passare a Configurazione computer\Criteri\Impostazioni di Windows\Impostazioni di sicurezza\Configurazione avanzata criteri di controllo\Criteri di controllo\Accesso/Disconnessione\Controlla accesso.

  2. Selezionare le caselle di controllo per configurare gli eventi di controllo per Operazione riuscita e Errore.

Configurare il controllo nel contenitore di configurazione

Nota

Il controllo del contenitore di configurazione viene riquriato solo per gli ambienti che dispongono o in precedenza di Microsoft Exchange, in quanto questi ambienti dispongono di un contenitore di Exchange che si trova all'interno della sezione Configurazione del dominio.

Problema di integrità correlato: il controllo nel contenitore di configurazione non è abilitato in base alle esigenze

1. Aprire lo strumento di modifica ADSI. Selezionare Avvia>esecuzione, immettere ADSIEdit.msce quindi selezionare OK.

2. Nel menu Azione selezionare Connetti a.

3. Nella finestra di dialogo Impostazioni di connessione, in Selezionare un contesto di denominazione noto selezionare Configurazione>OK.

4. Espandere il contenitore Configurazione per visualizzare il nodo Configurazione , che inizia con "CN=Configuration,DC=...".

5. Fare clic con il pulsante destro del mouse sul nodo Configurazione e scegliere Proprietà.

   

6. Selezionare la scheda Sicurezza e quindi selezionare Avanzate.

7. In Impostazioni di sicurezza avanzate selezionare la scheda Controllo e quindi selezionare Aggiungi.

8. Scegliere Seleziona un'entità.

9. In Immettere il nome dell'oggetto da selezionare immettere Tutti. Selezionare quindi Controlla nomi>OK.

10. Si torna quindi a Voce di controllo. Effettuare le selezioni seguenti:

    • Per Type (Tipo), selezionare All (Tutti).
    • Per Si applica a, selezionare Questo oggetto e tutti gli oggetti discendenti.
    • In Autorizzazioni scorrere verso il basso e selezionare Cancella tutto. Scorrere verso l'alto e selezionare Scrivi tutte le proprietà.

    

11. Seleziona OK.

Aggiornare le configurazioni legacy

Defender per identità non richiede più la registrazione di 1644 eventi. Se questa impostazione del Registro di sistema è abilitata, è possibile rimuoverla.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics]
"15 Field Engineering"=dword:00000005

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters]
"Expensive Search Results Threshold"=dword:00000001
"Inefficient Search Results Threshold"=dword:00000001
"Search Time Threshold (msecs)"=dword:00000001

Contenuto correlato

Per altre informazioni, vedi:

• Raccolta di eventi con Microsoft Defender per identità
• Controllo della sicurezza di Windows
• Criteri di controllo della sicurezza avanzati

Passaggio successivo

Che cosa sono i ruoli e le autorizzazioni di Defender per identità?