Cuentas y grupos privilegiados

La membresía de un grupo privilegiado es un dato que cambia poco y que alguien debió aprobar. Por eso la herramienta más honesta de la investigación es una comparación: la lista actual de miembros frente a la lista aprobada. Lo que aparece en la primera y no en la segunda es una diferencia que explicar; lo que aparece en la segunda y no en la primera, también.

Los eventos del registro dicen quién cambió qué y cuándo, pero no sustituyen la comparación: un cambio hecho cuando la auditoría estaba apagada, o antes del período que conserva el registro, no deja evento y solo se ve en la diferencia entre listas.

Abre grupos-actuales.csv y linea-base-aprobada.csv. Recorre los miembros del grupo Domain Admins: cada uno debería tener su fila aprobada. Ten presente que el nombre de una cuenta de servicio, por sí solo, no dice si merece estar en un grupo de ese poder; lo que lo dice es la aprobación.

El evento 4728 registra que se agregó un miembro a un grupo global de seguridad (Domain Admins lo es); el 4732 hace lo mismo con un grupo local, como Backup Operators. El evento dice la hora, el grupo, el miembro agregado y la cuenta que ejecutó el cambio.

Busca en eventos-membresia.csv el alta de la cuenta de la tarea anterior. La hora y la cuenta que lo ejecutó son, junto con la sesión de la que salió, la base de cualquier línea de tiempo de este caso.

Una cuenta de servicio de un sistema de producción en Domain Admins es un hallazgo grave, pero quitarla sin más puede detener el sistema de etiquetas y, sobre todo, borra la fotografía de lo que ocurrió. Antes de tocar nada se conserva la evidencia (la membresía tal como está, el evento 4728 y los registros cercanos) y se habla con quien responde por la aplicación, que en este caso figura en la nota de contexto.

La decisión de retirar la membresía existe y se toma pronto, pero después de guardar la prueba y con alguien con autoridad enterado.