Lo que registran los cambios del directorio

Los controladores de dominio escriben en el registro de seguridad. Cada tipo de cambio tiene su identificador de evento. Los que se usan todos los días: la creación de una cuenta de usuario (4720), el intento de restablecer su contraseña (4724), la deshabilitación de una cuenta (4725) y la incorporación de un miembro a un grupo de seguridad: 4728 cuando el grupo es global, 4732 cuando es local y 4756 cuando es universal. Un cambio en un objeto del directorio, como una GPO, queda en el evento 5136.

Los eventos dicen quién lo hizo (el sujeto), sobre qué (el objetivo) y a qué hora. Abre el extracto.

ls registros
cat registros/seguridad-DC01.log

Un cambio de membresía en un grupo privilegiado es el evento que más importa de todo el extracto. Lo que se anota de él es el sujeto, el grupo y el miembro. Y lo que se hace después es comprobar si había una solicitud aprobada detrás: un evento sin solicitud es un hallazgo.

Busca en el registro el evento de pertenencia a Domain Admins y lee quién fue el sujeto.

Los eventos 5136 identifican el objeto modificado por su nombre distinguido, y las GPO se guardan con un identificador (un GUID), no con su nombre. Para saber qué directiva cambió hay que cruzar ese identificador con la lista de GPO. Además, un cambio de una GPO suele dejar dos eventos seguidos: uno por el atributo de la configuración y otro por el número de versión.

Los eventos de la clase groupPolicyContainer son los de directivas. Toma el identificador del objeto y búscalo en la lista de GPO.

cat registros/lista-de-gpo.txt

Los tiempos cuentan una historia. Una cuenta nueva a la que se le restablece la contraseña y que entra minutos después es una cuenta que alguien preparó y usó. Cuando se revisa un expediente de cambios, se mide cuánto pasó entre dos eventos para decidir si es rutina o no.

Mide el tiempo entre el restablecimiento de contraseña de la cuenta aud-temporal y su primer inicio de sesión correcto, en minutos.

El registro no es magia. Las subcategorías de auditoría deciden qué se escribe. El evento 5136 solo aparece si está habilitada la subcategoría que audita los cambios de objetos del servicio de directorio, y además el objeto debe tener una entrada de auditoría que registre la escritura de sus atributos. Si en un controlador está en «No Auditing», los cambios hechos contra ese controlador no dejarán evento aunque ocurran.

La directiva de auditoría vigente en el segundo controlador está en la carpeta de registros. Léela y busca lo que falta.

cat registros/auditpol-DC02.txt