Un look es un registro de actividad de un sistema que generalmente se guarda en un fichero de texto
al que se le van añadiendo líneas a medida que se realizan acciones en el sistema.
Para los profesionales en seguridad informática, un log es un registro importante de información sobre
quién, qué, cuándo, dónde y por qué ocurre un evento en particular en un dispositivo X o aplicación,
lo que sirve de gran ayuda para identificar acciones sospechosas y realizar ciertas investigaciones.
Aquí tenemos un ejemplo de cómo funciona a nivel general la dinámica de registro de los log o rastro
de auditoría.
Tenemos un usuario, en este caso Pedro, que intenta acceder a un objeto en particular o carpeta y
user.
Al realizar esta acción se registra una línea de información con la fecha, el nombre del objeto, el
usuario y la acción que jureles realizada, que fue un acceso exitoso.
Tantas veces como Pedro intenta acceder a la carpeta Sergito en la línea de información, en caso de
King, Pedro intenta acceder a una carpeta a la cual no tiene acceso.
Entonces por igual se registraría y en este caso la acción sería un acceso denegado en el servidor Active
Directory existen dos parámetros importantes relacionados a los rastros de auditoría que son Audit Directory,
Service Access y Routing.
Acá un loco y Paint.
En el primero de estos, Ady Directory Service Access determina si serán registrados los eventos de
un usuario que intenta ceder a un objeto de la TIR Entry que tiene su propia lista de control de acceso.
Es decir, que tiene restricciones para ciertos usuarios.
Un objeto para este caso es un elemento básico de la directriz que representa algo en la red como un
usuario, un grupo, una computadora, una aplicación, una carpeta, impresora, etcétera.
Comúnmente, de forma predeterminada, este valor se establece para no registrar dichos eventos.
Así viene configurado por defecto en el servidor controlador de dominio en muchos casos.
En esta configuración se puede especificar si registrar los eventos exitosos o fallidos, así como no
registrar ninguno de ellos.
Audit Account Logo Event.
Este parámetro determina si serán registrados los eventos de inicio de sesión de las cuentas de los
usuarios del dominio.
Los eventos de inicio de sesión se genera en el log de seguridad del controlador de dominio.
Cuando una cuenta de usuario se autentica o intenta autenticar en el controlador de dominio.
Los eventos de inicio de sesión se generan en el log de seguridad a las estaciones de trabajo.
Cuando un usuario local se autentica en una computadora, se puede especificar si registrar los inicio
de sesión exitosos o los intentos fallidos, así como no registrar ninguno de ellos.
En esta guía práctica vamos a verificar si estos parámetros están configurados de acuerdo a las mejores
prácticas de seguridad, haciendo lo siguiente.
Determinar si la auditoría de acceso al directory service está habilitada.
Determinar si la auditoría de eventos de inicio de sesión de cuentas está habilitada para intentos fallidos.
Para esto vamos a nuestra máquina virtual.
Muy bien, entonces en nuestra máquina virtual vamos a inicio.
O estar ubicamos el icono de grupo Olisi Management.
En esta ventana del lado izquierdo tenemos nuestro nombre de dominio.
Curso Auditoría.
Y debajo está nuestra política del dominio o domain polish.
Es de archivo o icono, no es más que un conjunto de parámetros que nos permiten de manera centralizada
configurar opciones avanzadas de la computadora que están en el dominio, incluyendo servidores, oces.
En este icono damos clic derecho editar en esta ventana.
Luego de expandirla, seleccionamos la carpeta Polícía.
Debajo de cumplir el configuration expandimos cuando íuó la carpeta Windows Settings seleccionamos Security
Seren.
En Local Policy expanden por igual y tenemos la opción de Audi Police del lado derecho, tenemos dos
parámetros relacionados a los rastros de auditoría.
Aquí vamos a ubicar el parámetro Oude Directory Service Access, lo seleccionamos y observamos que está
configurado para registrar los eventos de accesos fallidos.
Podemos darle doble clic para ver más detalles y veamos como está la configuración.
En este caso, recuerden tomar capturas de pantalla de las configuraciones que observamos para que nos
sirvan de evidencia para nuestro proceso de auditoría de caso.
Voy a tomar un print screen.
El cual?
Os voy a pegar en paint.
Ejemplo aquí lo que ha hecho anteriormente.
Lo grabo y ya tengo parte de mi evidencia.
Cerramos aquí dándole a cancelar para no modificar nada.
Y ubicamos el siguiente parámetro Audit Takao lo con Iben, el cual vemos que no está definido si entramos
en el mismo, no está seleccionado ni sus sets ni failure, de manera que no están siendo registrados
los eventos de inicio de sesión de las cuentas de usuario.
De igual manera tomamos Primal Scream de esta pantalla, vamos a Pain.
De igual manera, si hacemos la captura de pantalla de esta parte, de este lado también se puede observar
la configuración que tiene.
Así no es necesario enterrar a cada uno de ellos.
Cada uno de estos parámetros para hacer captura de pantalla.
Como pueden observar, aparte de los parámetros que para este caso estamos revisando, existen otros
parámetros relacionados a rastros de auditoría.
Pero en este caso vamos a verificar los dos principales.
Luego de tener la evidencia, ya podemos.
Cerrar esta parte.