Controladores de dominio, qué auditar

La auditoría avanzada de Windows no se activa evento por evento sino por subcategorías, y cada subcategoría se configura para registrar éxitos, fallos, ambos o ninguno. El evento 5136, que registra el cambio de un atributo de un objeto del directorio, lo genera la subcategoría Audit Directory Service Changes. El 4728 depende de Audit Security Group Management, y los eventos 4768 y 4771 de Audit Kerberos Authentication Service.

La tabla eventos_necesarios trae los nueve eventos que el equipo de detección usa y la subcategoría de cada uno. La tabla politica_por_dc trae el estado de esas subcategorías en cada controlador, tal como lo informa su política efectiva.

Un hueco en un solo controlador se puede sortear mirando los demás. Un hueco en todos significa que ese evento no existe en ningún sitio. Cruza politica_por_dc con eventos_necesarios y busca la subcategoría que está sin auditar en los tres controladores a la vez.

En un dominio, la política de auditoría se aplica por directiva de grupo a los controladores. Si uno tiene valores distintos a los demás, suele ser porque no la recibió, porque otra directiva la pisa o porque se hizo un cambio local. Los eventos que ese controlador procesa no se registran, y los usuarios que se autentican contra él quedan fuera de la detección.

Medir el hueco sirve para pedirlo con un número. Para cada uno de los nueve eventos necesarios, mira si la subcategoría que lo genera está en No Auditing en el controlador del hallazgo anterior. Los eventos que comparten subcategoría se cuentan cada uno.

En dc-mc-01 la subcategoría de cambios del directorio está en Success and Failure. Aun así, alguien modificó el objeto AdminSDHolder y no hay ningún 5136. La tabla auditoria_en_objetos muestra qué objetos tienen una entrada de auditoría para escrituras.