Escenario, auditoría de dominio a medio activar

La subcategoría que registra los cambios de membresía a grupos es Audit Security Group Management. Un cambio hecho contra un controlador que no la audita no deja evento de grupo, aunque los demás sí la tengan activa. Cuenta cuántos de los tres controladores están sin esa auditoría.

Aunque no haya evento, el directorio guarda metadatos de replicación: para cada miembro de un grupo, cuándo se añadió y en qué controlador se hizo el cambio. Es el único registro del cambio que sobrevive a un registro de seguridad que no lo escribió.

El alta más reciente cae dentro del periodo que pregunta el comité. Los metadatos dicen qué cuenta es y cuándo entró al grupo. Compara con los eventos de grupos que el SIEM sí tiene en esos días.

Una cuenta que entra a un grupo privilegiado y no se usa es un riesgo. Una que se usa poco después es una pregunta más urgente. Los inicios de sesión sí están en el SIEM porque esa auditoría está activa en un controlador. Calcula cuántos minutos pasaron entre el alta en el grupo y el primer inicio de sesión de esa cuenta que el SIEM tiene.

Tienes los hechos: un miembro nuevo desde el 29 de octubre, un cambio originado en un controlador sin auditoría de grupos y con un registro de 20 MB que ya rotó, y un inicio de sesión de esa cuenta minutos después. Tienes también lo que no hay: el evento del alta, el actor, el motivo y cualquier ticket.