Configurare i criteri di controllo per i log eventi di Windows
Per migliorare i rilevamenti e raccogliere altre informazioni sulle azioni utente, ad esempio accessi NTLM e modifiche ai gruppi di sicurezza, Microsoft Defender per identità si basa su voci specifiche del registro eventi di Windows. La configurazione corretta delle impostazioni dei criteri di controllo avanzati nei controller di dominio è fondamentale per evitare lacune nel registro eventi e incomplete Defender per la copertura delle identità.
Questo articolo descrive come configurare le impostazioni dei criteri di controllo avanzati in base alle esigenze per un sensore defender per identità e altre configurazioni per tipi di eventi specifici.
Defender per identità genera problemi di integrità per ognuno di questi scenari, se rilevati. Per altre informazioni, vedere Microsoft Defender per identità problemi di integrità.
Prerequisiti
- Prima di eseguire i comandi di PowerShell di Defender per identità, assicurarsi di aver scaricato il modulo PowerShell defender per identità.
Generare un report con configurazioni correnti tramite PowerShell
Prima di iniziare a creare nuovi criteri di controllo ed eventi, è consigliabile eseguire il comando PowerShell seguente per generare un report delle configurazioni di dominio correnti:
New-MDIConfigurationReport [-Path] <String> [-Mode] <String> [-OpenHtmlReport]
Dove:
- Path specifica il percorso in cui salvare i report
- Mode specifica se si desidera utilizzare la modalità Domain o LocalMachine . In modalità dominio , le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In modalità LocalMachine le impostazioni vengono raccolte dal computer locale.
- OpenHtmlReport apre il report HTML dopo la generazione del report
Ad esempio, per generare un report e aprirlo nel browser predefinito, eseguire il comando seguente:
New-MDIConfigurationReport -Path "C:\Reports" -Mode Domain -OpenHtmlReport
Per altre informazioni, vedere le informazioni di riferimento su PowerShell per DefenderforIdentity.
Suggerimento
Il Domain
report in modalità include solo le configurazioni impostate come criteri di gruppo nel dominio. Se sono presenti impostazioni definite localmente nei controller di dominio, è consigliabile eseguire anche lo script Test-MdiReadiness.ps1 .
Configurare il controllo per i controller di dominio
Aggiornare le impostazioni dei criteri di controllo avanzati e le configurazioni aggiuntive per eventi e tipi di eventi specifici, ad esempio utenti, gruppi, computer e altro ancora. Le configurazioni di controllo per i controller di dominio includono:
- Impostazioni avanzate dei criteri di controllo
- Controllo NTLM
- Controllo degli oggetti di dominio
Usare le procedure seguenti per configurare il controllo nei controller di dominio usati con Defender per identità:
Configurare le impostazioni dei criteri di controllo avanzati dall'interfaccia utente
Questa procedura descrive come modificare i criteri di controllo avanzati del controller di dominio in base alle esigenze di Defender per identità tramite l'interfaccia utente.
Problema di integrità correlato: Il controllo avanzato di Servizi directory non è abilitato in base alle esigenze
Per configurare le impostazioni dei criteri di controllo avanzati:
Accedere al server come amministratore di dominio.
Aprire l'Editor Gestione Criteri di gruppo da Gestione Criteri di gruppo degli strumenti>di Server Manager>.
Espandere le unità organizzative controller di dominio, fare clic con il pulsante destro del mouse su Criteri controller di dominio predefiniti e quindi scegliere Modifica. Ad esempio:
Nota
Usare i criteri dei controller di dominio predefiniti o un oggetto Criteri di gruppo dedicato per impostare questi criteri.
Dalla finestra visualizzata passare a Criteri>di configurazione>computer Impostazioni di Windows Impostazioni> di sicurezza e, a seconda dei criteri da abilitare, eseguire le operazioni seguenti:
Passare a Criteri di controllo avanzati Criteri di>controllo Criteri di controllo. Ad esempio:
In Criteri di controllo modificare ognuno dei criteri seguenti e selezionare Configura gli eventi di controllo seguenti per gli eventi Success e Failure.
Criteri di controllo Sottocategoria ID evento trigger Accesso account Controllare la convalida delle credenziali 4776 Gestione dell'account Controlla gestione account computer * 4741, 4743 Gestione dell'account Controllo della gestione dei gruppi di distribuzione 4753, 4763 Gestione dell'account Controlla la gestione dei gruppi di sicurezza * 4728, 4729, 4730, 4732, 4733, 4756, 4757, 4758 Gestione dell'account Controllo della gestione di account utente 4726 Accesso DS Controllo delle modifiche al servizio directory 5136 Di sistema Controlla estensione del sistema di sicurezza * 7045 Accesso DS Controllo dell'accesso al servizio directory 4662 - Per questo evento, è necessario configurare anche il controllo degli oggetti di dominio. Nota
* Le sottocategorie annotate non supportano gli eventi di errore. Tuttavia, è consigliabile aggiungerli a scopo di controllo nel caso in cui vengano implementati in futuro. Per altre informazioni, vedere Audit Computer Account Management, Audit Security Group Management e Audit Security System Extension.For more information, see Audit Computer Account Management, Audit Security Group Management, and Audit Security System Extension.
Ad esempio, per configurare Audit Security Group Management, in Gestione account fare doppio clic su Controlla gestione gruppo di sicurezza e quindi selezionare Configura gli eventi di controllo seguenti per gli eventi Success e Failure:
Da un prompt dei comandi con privilegi elevati immettere
gpupdate
.Dopo aver applicato il criterio tramite l'oggetto Criteri di gruppo, i nuovi eventi sono visibili nella Visualizzatore eventi, in Log di Windows -> Sicurezza.
Per testare i criteri di controllo dalla riga di comando, eseguire il comando seguente:
auditpol.exe /get /category:*
Per altre informazioni, vedere la documentazione di riferimento di auditpol.
Configurare le impostazioni dei criteri di controllo avanzati con PowerShell
Questa procedura descrive come modificare i criteri di controllo avanzati del controller di dominio in base alle esigenze di Defender per identità tramite PowerShell.
Problema di integrità correlato: Il controllo avanzato di Servizi directory non è abilitato in base alle esigenze
Per configurare le impostazioni, eseguire:
Set-MDIConfiguration [-Mode] <String> [-Configuration] <String[]> [-CreateGpoDisabled] [-SkipGpoLink] [-Force]
Dove:
Mode specifica se si desidera utilizzare la modalità Domain o LocalMachine . In modalità dominio , le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In modalità LocalMachine le impostazioni vengono raccolte dal computer locale.
La configurazione specifica la configurazione da impostare. Usare
All
per impostare tutte le configurazioni.CreateGpoDisabled specifica se gli oggetti Criteri di gruppo vengono creati e mantenuti disabilitati.
SkipGpoLink specifica che i collegamenti degli oggetti Criteri di gruppo non vengono creati.
Force specifica che la configurazione è impostata o che gli oggetti Criteri di gruppo vengono creati senza convalidare lo stato corrente.
Per visualizzare i criteri di controllo, usare il comando Get-MDIConfiguration per visualizzare i valori correnti:
Get-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>
Dove:
Mode specifica se si desidera utilizzare la modalità Domain o LocalMachine . In modalità dominio , le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In modalità LocalMachine le impostazioni vengono raccolte dal computer locale.
La configurazione specifica la configurazione da ottenere. Usare
All
per ottenere tutte le configurazioni.
Per testare i criteri di controllo, usare il comando Test-MDIConfiguration per ottenere una true
risposta o false
per verificare se i valori sono configurati correttamente:
Test-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>
Dove:
Mode specifica se si desidera utilizzare la modalità Domain o LocalMachine . In modalità dominio , le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In modalità LocalMachine le impostazioni vengono raccolte dal computer locale.
La configurazione specifica la configurazione da testare. Usare
All
per testare tutte le configurazioni.
Per altre informazioni, vedere i riferimenti a PowerShell di DefenderForIdentity seguenti:
Configurare il controllo NTLM
Questa sezione descrive i passaggi di configurazione aggiuntivi necessari per controllare l'ID evento 8004.
Nota
- I criteri di gruppo di dominio per raccogliere l'evento Windows 8004 devono essere applicati solo ai controller di dominio.
- Quando l'evento di Windows 8004 viene analizzato da Defender for Identity Sensor, le attività di autenticazione NTLM di Defender per identità vengono arricchite con i dati a cui si accede al server.
Problema di integrità correlato: Il controllo NTLM non è abilitato
Per configurare il controllo NTLM:
Dopo aver configurato le impostazioni iniziali dei criteri di controllo avanzati (UI / PowerShell), aprire Gestione Criteri di gruppo e passare a Criteri di dominio predefiniti Criteri>di sicurezza locali criteri>locali.
In Opzioni di sicurezza configurare i criteri di sicurezza specificati come segue:
Impostazione dei criteri di sicurezza Valore Sicurezza di rete: Limitare NTLM: traffico NTLM in uscita verso server remoti Controlla tutto Sicurezza di rete: Limita NTLM: controlla l'autenticazione NTLM in questo dominio Abilita tutti Sicurezza di rete: Limita NTLM: controlla il traffico NTLM in ingresso Abilitare il controllo per tutti gli account
Ad esempio, per configurare il traffico NTLM in uscita verso server remoti, in Opzioni di sicurezza fare doppio clic su Sicurezza di rete: Limita NTLM: Traffico NTLM in uscita verso server remoti e quindi selezionare Controlla tutto:
Configurare il controllo degli oggetti di dominio
Per raccogliere eventi per le modifiche agli oggetti, ad esempio l'evento 4662, è necessario configurare anche il controllo degli oggetti nell'utente, nel gruppo, nel computer e in altri oggetti. Questa procedura descrive come abilitare il controllo nel dominio di Active Directory.
Importante
Assicurarsi di esaminare e controllare i criteri (UI / PowerShell) prima di abilitare la raccolta di eventi per assicurarsi che i controller di dominio siano configurati correttamente per registrare gli eventi necessari. Se configurata correttamente, questo controllo deve avere un effetto minimo sulle prestazioni del server.
Problema di integrità correlato: Il controllo oggetti di Directory Services non è abilitato come richiesto
Per configurare il controllo degli oggetti di dominio:
Passare alla console di Utenti e computer di Active Directory.
Selezionare il dominio da controllare.
Selezionare il menu Visualizza e selezionare Funzionalità avanzate.
Fare clic con il pulsante destro del mouse sul dominio e scegliere Proprietà. Ad esempio:
Passare alla scheda Sicurezza e selezionare Avanzate. Ad esempio:
In Impostazioni di sicurezza avanzate selezionare la scheda Controllo e quindi selezionare Aggiungi. Ad esempio:
Selezionare Seleziona un'entità. Ad esempio:
In Immettere il nome dell'oggetto da selezionare immettere **Tutti e selezionare Controlla nomi>OK. Ad esempio:
Si torna quindi a Voce di controllo. Effettuare le selezioni seguenti:
Per Tipo selezionare Operazione riuscita.
Per Si applica a selezionare Oggetti Utente discendente .
In Autorizzazioni scorrere verso il basso e selezionare il pulsante Cancella tutto . Ad esempio:
Scorrere il backup e selezionare Controllo completo. Vengono selezionate tutte le autorizzazioni.
Deselezionare la selezione per il contenuto dell'elenco, Leggere tutte le proprietà e Autorizzazioni lettura e selezionare OK. In questo modo vengono impostate tutte le impostazioni Proprietà su Write. Ad esempio:
Ora, quando viene attivato, tutte le modifiche rilevanti ai servizi directory vengono visualizzate come
4662
eventi.
Ripetere i passaggi di questa procedura, ma per Si applica a, selezionare i tipi di oggetto seguenti:
- Oggetti gruppo discendente
- Oggetti computer discendenti
- Descendant msDS-GroupManagedServiceAccount Objects
- Oggetti msDS-ManagedServiceAccount discendenti
Nota
Anche l'assegnazione delle autorizzazioni di controllo per tutti gli oggetti discendenti funzionerebbe, ma sono necessari solo i tipi di oggetto come descritto nell'ultimo passaggio.
Configurare il controllo in un'istanza di Active Directory Federation Services (AD FS)
Problema di integrità correlato: il controllo nel contenitore ADFS non è abilitato in base alle esigenze
Per configurare il controllo in active Directory Federation Services (AD FS):To configure auditing on an Active Directory Federation Services (AD FS):
Passare alla console Utenti e computer di Active Directory e selezionare il dominio in cui si vuole abilitare i log.
Passare a Dati>programma Microsoft>ADFS. Ad esempio:
Fare clic con il pulsante destro del mouse su ADFS e scegliere Proprietà.
Passare alla scheda Sicurezza e selezionare Advanced>Advanced Security Settings>Auditing scheda >Add Select a principal (Impostazioni>avanzate di sicurezza).
In Immettere il nome dell'oggetto da selezionare immettere Tutti.
Selezionare Controlla nomi>OK.
Si torna quindi a Voce di controllo. Effettuare le selezioni seguenti:
- Per Tipo selezionare Tutto.
- Per Si applica per selezionare Questo oggetto e tutti gli oggetti discendenti.
- In Autorizzazioni scorrere verso il basso e selezionare Cancella tutto. Scorrere verso l'alto e selezionare Leggi tutte le proprietà e Scrivi tutte le proprietà.
Ad esempio:
Seleziona OK.
Configurare il controllo per Servizi certificati Active Directory
Se si usa un server dedicato con Servizi certificati Active Directory (AD CS) configurato, assicurarsi di configurare il controllo come indicato di seguito per visualizzare avvisi dedicati e report di Secure Score.
Creare criteri di gruppo da applicare al server servizi certificati Active Directory. Modificarlo e configurare le impostazioni di controllo seguenti:
Passare a e selezionare Doppio selezionare Configurazione computer\Criteri\Impostazioni di Windows\Impostazioni di sicurezza\Configurazione avanzata criteri di controllo\Criteri di controllo\Accesso agli oggetti\Controlla servizi di certificazione.
Selezionare questa opzione per configurare gli eventi di controllo per Operazione riuscita e Errore. Ad esempio:
Configurare il controllo nell'autorità di certificazione (CA) usando uno dei metodi seguenti:
Per configurare il controllo ca tramite la riga di comando, eseguire:
certutil –setreg CA\AuditFilter 127 net stop certsvc && net start certsvc
Per configurare il controllo ca tramite l'interfaccia utente grafica:
Selezionare Start -> Certification Authority (applicazione desktop MMC) . Fare clic con il pulsante destro del mouse sul nome della CA e scegliere Proprietà. Ad esempio:
Selezionare la scheda Controllo , selezionare tutti gli eventi da controllare e quindi selezionare Applica. Ad esempio:
Nota
La configurazione del controllo degli eventi di Servizi certificati Active Directory Start e Stop può causare ritardi di riavvio quando si gestiscono un database di Servizi certificati Active Directory di grandi dimensioni. È consigliabile rimuovere voci irrilevanti dal database o, in alternativa, evitare di abilitare questo tipo specifico di evento.
Configurare il controllo nel contenitore di configurazione
Problema di integrità correlato: il controllo nel contenitore di configurazione non è abilitato in base alle esigenze
Aprire ADSI Edit (Modifica ADSI) selezionando Start Run (Avvia>esecuzione). Immettere
ADSIEdit.msc
e selezionare OK.Nel menu Azione selezionare Connetti a.
Nella finestra di dialogo Impostazioni di connessione in Selezionare un contesto di denominazione noto selezionare Configurazione>OK.
Espandere il contenitore Configurazione per visualizzare il nodo Configurazione , a partire da "CN=Configuration,DC=..."
Fare clic con il pulsante destro del mouse sul nodo Configurazione e scegliere Proprietà. Ad esempio:
Selezionare la scheda >Sicurezza Avanzate.
In Impostazioni di sicurezza avanzate selezionare la scheda >Controllo Aggiungi.
Selezionare Seleziona un'entità.
In Immettere il nome dell'oggetto da selezionare immettere **Tutti e selezionare Controlla nomi>OK.
Si torna quindi a Voce di controllo. Effettuare le selezioni seguenti:
- Per Tipo selezionare Tutto.
- Per Si applica per selezionare Questo oggetto e tutti gli oggetti discendenti.
- In Autorizzazioni scorrere verso il basso e selezionare Cancella tutto. Scorrere verso l'alto e selezionare Scrivi tutte le proprietà.
Ad esempio:
Seleziona OK.
Configurazioni legacy
Importante
Defender per identità non richiede più la registrazione di 1644 eventi. Se questa impostazione del Registro di sistema è abilitata, è possibile rimuoverla.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics]
"15 Field Engineering"=dword:00000005
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters]
"Expensive Search Results Threshold"=dword:00000001
"Inefficient Search Results Threshold"=dword:00000001
"Search Time Threshold (msecs)"=dword:00000001
Contenuto correlato
Per altre informazioni, vedi:
- Che cos'è la raccolta di eventi di Windows per Defender per identità
- Controllo della sicurezza di Windows
- Criteri di controllo della sicurezza avanzati