Recomendações da política de auditoria do sistema

Este artigo aborda as configurações de diretiva de auditoria do Windows e as recomendações básicas e avançadas da Microsoft para estações de trabalho e servidores. Ele fornece orientação para ajudar os administradores a escolher políticas de auditoria apropriadas com base nas necessidades de sua organização.

As recomendações de linha de base do Security Compliance Manager (SCM) mostradas aqui, juntamente com as configurações recomendadas para ajudar a detetar o comprometimento do sistema, destinam-se apenas a ser um guia de linha de base inicial para administradores. Cada organização deve tomar suas próprias decisões em relação às ameaças que enfrenta, suas tolerâncias de risco aceitáveis e quais categorias ou subcategorias de políticas de auditoria devem habilitar. Os administradores sem uma política de auditoria cuidadosa são incentivados a começar com as configurações recomendadas aqui e, em seguida, modificar e testar antes de implementar em seu ambiente de produção.

As recomendações são para computadores de classe empresarial, que a Microsoft define como computadores que têm requisitos médios de segurança e exigem um alto nível de funcionalidade operacional. As entidades que necessitem de requisitos de segurança mais elevados devem considerar políticas de auditoria mais agressivas.

As seguintes configurações de diretiva de auditoria de linha de base são recomendadas para computadores de segurança normais que não são conhecidos por estarem sob ataque ativo e bem-sucedido por determinados adversários ou malware.

Esta seção contém tabelas que listam as recomendações de configuração de auditoria que se aplicam ao sistema operacional Windows (SO) para cliente e servidor.

Política de Auditoria do Sistema: Legenda da Tabela

Notation Recommendation
Yes Ativar em cenários gerais
No Não ativar em cenários gerais
If Habilite, se necessário, para um cenário específico ou se uma função ou recurso para o qual a auditoria é desejada estiver instalado na máquina
DC Ativar em controladores de domínio
[Blank] Sem recomendação

Essas tabelas contêm a configuração padrão do Windows, as recomendações de linha de base e recomendações mais fortes para qual plataforma de sistema operacional você está executando.

Categoria ou subcategoria da política de auditoria Padrão do Windows
Success | Failure		 Recomendação inicial
Success | Failure		 Recomendação mais forte
Success | Failure
Logon de conta
Auditar validação de credenciais No | No Yes | No Yes | Yes
Auditar serviço de autenticação do Kerberos Yes | Yes
Auditoria de Operações de Bilhete de Serviço Kerberos Yes | Yes
Auditar outros eventos de logon de conta Yes | Yes
Categoria ou subcategoria da política de auditoria Padrão do Windows
Success | Failure		 Recomendação inicial
Success | Failure		 Recomendação mais forte
Success | Failure
Gestão de Contas
Gerenciamento do Grupo de Aplicativos de Auditoria
Auditar gestão de contas de computador Yes | No Yes | Yes
Auditar gestão de grupo de distribuição
Auditar outros eventos de gestão de conta Yes | No Yes | Yes
Auditar gestão de grupos de segurança Yes | No Yes | Yes
Auditar gestão de conta de utilizadores Yes | No Yes | No Yes | Yes
Categoria ou subcategoria da política de auditoria Padrão do Windows
Success | Failure		 Recomendação inicial
Success | Failure		 Recomendação mais forte
Success | Failure
Acompanhamento detalhado
Auditar a atividade do DPAPI Yes | Yes
Criação de processo de auditoria Yes | No Yes | Yes
Encerramento do processo de auditoria
Auditar eventos RPC
Categoria ou subcategoria da política de auditoria Padrão do Windows
Success | Failure		 Recomendação inicial
Success | Failure		 Recomendação mais forte
Success | Failure
Acesso DS
Auditar a replicação detalhada do serviço de diretório
Auditar acesso a serviços de diretório
Auditar alterações de serviços de diretório
Auditar replicação de serviços de diretório
Categoria ou subcategoria da política de auditoria Padrão do Windows
Success | Failure		 Recomendação inicial
Success | Failure		 Recomendação mais forte
Success | Failure
Logon e Logoff
Auditar bloqueio de conta Yes | No Yes | No
Auditar declarações de usuário/dispositivo
Auditar o Modo Estendido IPsec
Auditoria do Modo Principal IPsec IF | IF
Modo Rápido de Auditoria IPsec
Logoff de auditoria Yes | No Yes | No Yes | No
Logon de auditoria 1 Yes | Yes Yes | Yes Yes | Yes
Auditar o Servidor de Políticas de Rede Yes | Yes
Auditar outros eventos de logon/logoff
Auditar início de sessão especial Yes | No Yes | No Yes | Yes

1 A partir do Windows 10 versão 1809, o Logon de Auditoria é habilitado por padrão para Êxito e Falha. Nas versões anteriores do Windows, apenas o Êxito está ativado por predefinição.

Categoria ou subcategoria da política de auditoria Padrão do Windows
Success | Failure		 Recomendação inicial
Success | Failure		 Recomendação mais forte
Success | Failure
Acesso a objetos
Aplicativo de auditoria gerado
Serviços de Certificação de Auditoria
Auditar partilha de ficheiros detalhada
Auditar partilha de ficheiros
Sistema de arquivos de auditoria
Conexão da Plataforma de Filtragem de Auditoria
Perda de Pacotes na Plataforma de Filtragem de Auditoria
Manipulação do identificador de auditoria
Objeto do kernel de auditoria
Auditar outros eventos de acesso de objetos
Registo de Auditoria
Auditar armazenamento removível
Auditoria SAM
Preparo da Política de Acesso Central de Auditoria
Categoria ou subcategoria da política de auditoria Padrão do Windows
Success | Failure		 Recomendação inicial
Success | Failure		 Recomendação mais forte
Success | Failure
Mudança de política
Alteração da política de auditoria Yes | No Yes | Yes Yes | Yes
Auditar alteração de política de autenticação Yes | No Yes | No Yes | Yes
Auditar alteração de política de autorização
Alteração da política da plataforma de filtragem de auditoria
Auditar alteração de política de nível de regra MPSSVC Yes
Auditar outros eventos de alteração de política
Categoria ou subcategoria da política de auditoria Padrão do Windows
Success | Failure		 Recomendação inicial
Success | Failure		 Recomendação mais forte
Success | Failure
Uso de privilégios
Auditoria do uso de privilégios não sensíveis
Auditar outros eventos de uso de privilégios
Auditar utilização de privilégio confidenciais
Categoria ou subcategoria da política de auditoria Padrão do Windows
Success | Failure		 Recomendação inicial
Success | Failure		 Recomendação mais forte
Success | Failure
System
Auditar controlador IPSec Yes | Yes Yes | Yes
Auditar outros eventos do sistema Yes | Yes
Auditar de alteração de estado de segurança Yes | No Yes | Yes Yes | Yes
Auditar extensão de sistema de segurança Yes | Yes Yes | Yes
Auditar integridade do sistema Yes | Yes Yes | Yes Yes | Yes
Categoria ou subcategoria da política de auditoria Padrão do Windows
Success | Failure		 Recomendação inicial
Success | Failure		 Recomendação mais forte
Success | Failure
Auditoria de Acesso a Objetos Globais
Auditar controlador IPSec
Auditar outros eventos do sistema
Auditar de alteração de estado de segurança
Auditar extensão de sistema de segurança
Auditar integridade do sistema

Definir política de auditoria em estações de trabalho e servidores

O gerenciamento eficaz do log de eventos requer o monitoramento de estações de trabalho e servidores. Concentrar-se apenas em servidores ou controladores de domínio (DC) é uma supervisão comum, pois os sinais iniciais de atividade maliciosa geralmente aparecem em estações de trabalho. Ao incluir estações de trabalho em sua estratégia de monitoramento, você ganha acesso a indicadores críticos iniciais de comprometimento.

Antes de implantar qualquer política de auditoria em um ambiente de produção, os administradores devem revisar, testar e validar cuidadosamente a política para garantir que ela atenda aos requisitos operacionais e de segurança organizacionais.

Eventos a monitorizar

Um ID de evento perfeito para gerar um alerta de segurança deve conter os seguintes atributos:

  • Alta probabilidade de ocorrência indicar atividade não autorizada

  • Baixo número de falsos positivos

  • A ocorrência deve resultar numa resposta investigativa/forense

Dois tipos de eventos devem ser monitorados e alertados:

  • Eventos em que uma ocorrência é um forte indicador de atividade não autorizada ou suspeita.

  • Uma acumulação de acontecimentos acima de uma base de referência esperada e aceite.

Um exemplo do primeiro evento é:

Se os Administradores de Domínio estiverem proibidos de iniciar sessão nos computadores que não são DCs, uma única ocorrência de um membro Administrador de Domínio a iniciar sessão numa estação de trabalho de utilizador final deverá gerar um alerta e ser investigada. Esse tipo de alerta é fácil de gerar usando o evento 4964 de Logon Especial de Auditoria (grupos especiais foram atribuídos a um novo logon). Outros exemplos de alertas de instância única incluem:

  • Se o Servidor A nunca se conectar ao Servidor B, alerte quando eles se conectarem uns aos outros.

  • Alertar se uma conta de usuário padrão for adicionada inesperadamente a um grupo de segurança privilegiado ou confidencial.

  • Se os funcionários na fábrica A nunca trabalham à noite, emita um alerta quando um utilizador fizer logon à noite.

  • Alerte se um serviço não autorizado estiver instalado em um DC.

  • Investigue se um usuário final regular tenta entrar diretamente em um SQL Server para o qual não tem um motivo claro para fazê-lo.

  • Se não tiver membros no seu grupo de Administradores de Domínio e alguém se adicionar lá, verifique imediatamente.

Um exemplo do segundo evento é:

Um grande número de tentativas de logon com falha pode sinalizar um ataque de adivinhação de senha. Para detetar isso, as organizações devem primeiro determinar o que é uma taxa normal de logons falhados em seu ambiente. Em seguida, os alertas podem ser acionados quando essa linha de base for excedida.

Para obter uma lista abrangente de eventos que você deve incluir ao monitorar sinais de comprometimento, consulte o Apêndice L: Eventos a serem monitorados.

Objetos e atributos do Ative Directory a serem monitorados

A seguir estão as contas, grupos e atributos que você deve monitorar para ajudá-lo a detetar tentativas de comprometer a instalação dos Serviços de Domínio Ative Directory.

  • Sistemas para desativar ou remover software antivírus e antimalware (reiniciar automaticamente a proteção quando esta é desativada manualmente)

  • Contas de administrador para alterações não autorizadas

  • Atividades realizadas usando contas privilegiadas (remover automaticamente a conta quando atividades suspeitas forem concluídas ou o tempo alocado expirar)

  • Contas privilegiadas e VIP no AD DS. Monitore alterações em atributos na guia Conta, como:

    • cn

    • name

    • sAMAccountName

    • userPrincipalName

    • userAccountControl

    Além de monitorar as contas, restrinja quem pode modificar as contas para o menor número possível de usuários administrativos. Consulte o Apêndice L: Eventos a serem monitorados para obter uma lista de eventos recomendados para monitorar, suas classificações de criticidade e um resumo da mensagem de evento.

  • Agrupe servidores pela classificação de suas cargas de trabalho, o que permite identificar rapidamente os servidores que devem ser monitorados mais de perto e configurados com mais rigor

  • Alterações nas propriedades e na associação dos seguintes grupos do AD DS:

    • Administrators

    • Administradores de Domínio

    • Administradores Empresariais

    • Administradores de esquema

  • Contas privilegiadas desativadas (como contas de administrador incorporadas no Active Directory e em sistemas membros) para possibilitar a ativação das contas.

  • Contas de gestão para registar todas as alterações na conta

  • Assistente de Configuração de Segurança incorporado para configurar definições de serviço, registo, auditoria e firewall para reduzir a superfície de ataque do servidor. Use este assistente se implementar servidores jump como parte da sua estratégia de host administrativo.

Informações adicionais para monitorar o AD DS

Analise os links a seguir para obter informações adicionais sobre como monitorar o AD DS:

Criticidades nas recomendações de ID de eventos de segurança

Todas as recomendações de ID de Evento são acompanhadas por uma classificação de criticidade da seguinte forma:

Rating Description
High Os identificadores de eventos com uma classificação de criticidade elevada devem ser sempre sinalizados e imediatamente investigados.
Medium Um ID de evento com uma classificação de criticidade média pode indicar atividade maliciosa, mas deve ser acompanhada por alguma outra anormalidade. Um exemplo pode incluir um número incomum que ocorre em um determinado período de tempo, ocorrências inesperadas ou ocorrências em um computador que normalmente não seria esperado para registrar o evento. Um evento de criticidade média também pode ser coletado como uma métrica e, em seguida, comparado ao longo do tempo.
Low E o ID de Evento com eventos de baixa criticidade não deve chamar a atenção ou causar alertas, a menos que esteja correlacionado com eventos de criticidade média ou alta.

Estas recomendações destinam-se a fornecer um guia de linha de base para um administrador. Todas as recomendações devem ser cuidadosamente revistas antes de serem implementadas em um ambiente de produção.

Consulte também

  • Última atualização a