Configurare i criteri di controllo per i log eventi di Windows

Per migliorare i rilevamenti e raccogliere altre informazioni sulle azioni utente, ad esempio accessi NTLM e modifiche ai gruppi di sicurezza, Microsoft Defender per identità si basa su voci specifiche del registro eventi di Windows. La configurazione corretta delle impostazioni dei criteri di controllo avanzati nei controller di dominio è fondamentale per evitare lacune nel registro eventi e incomplete Defender per la copertura delle identità.

Questo articolo descrive come configurare le impostazioni dei criteri di controllo avanzati in base alle esigenze per un sensore defender per identità e altre configurazioni per tipi di eventi specifici.

Defender per identità genera problemi di integrità per ognuno di questi scenari, se rilevati. Per altre informazioni, vedere Microsoft Defender per identità problemi di integrità.

Prerequisiti

• Prima di eseguire i comandi di PowerShell di Defender per identità, assicurarsi di aver scaricato il modulo PowerShell defender per identità.

Generare un report con configurazioni correnti tramite PowerShell

Prima di iniziare a creare nuovi criteri di controllo ed eventi, è consigliabile eseguire il comando PowerShell seguente per generare un report delle configurazioni di dominio correnti:

New-MDIConfigurationReport [-Path] <String> [-Mode] <String> [-OpenHtmlReport]

Dove:

• Path specifica il percorso in cui salvare i report
• Mode specifica se si desidera utilizzare la modalità Domain o LocalMachine . In modalità dominio , le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In modalità LocalMachine le impostazioni vengono raccolte dal computer locale.
• OpenHtmlReport apre il report HTML dopo la generazione del report

Ad esempio, per generare un report e aprirlo nel browser predefinito, eseguire il comando seguente:

New-MDIConfigurationReport -Path "C:\Reports" -Mode Domain -OpenHtmlReport

Per altre informazioni, vedere le informazioni di riferimento su PowerShell per DefenderforIdentity.

Configurare il controllo per i controller di dominio

Aggiornare le impostazioni dei criteri di controllo avanzati e le configurazioni aggiuntive per eventi e tipi di eventi specifici, ad esempio utenti, gruppi, computer e altro ancora. Le configurazioni di controllo per i controller di dominio includono:

• Impostazioni avanzate dei criteri di controllo
• Controllo NTLM
• Controllo degli oggetti di dominio

Usare le procedure seguenti per configurare il controllo nei controller di dominio usati con Defender per identità:

Configurare le impostazioni dei criteri di controllo avanzati dall'interfaccia utente

Questa procedura descrive come modificare i criteri di controllo avanzati del controller di dominio in base alle esigenze di Defender per identità tramite l'interfaccia utente.

Problema di integrità correlato: Il controllo avanzato di Servizi directory non è abilitato in base alle esigenze

Per configurare le impostazioni dei criteri di controllo avanzati:

1. Accedere al server come amministratore di dominio.

2. Aprire l'Editor Gestione Criteri di gruppo da Gestione Criteri di gruppo degli strumenti>di Server Manager>.

3. Espandere le unità organizzative controller di dominio, fare clic con il pulsante destro del mouse su Criteri controller di dominio predefiniti e quindi scegliere Modifica. Ad esempio:

   

   Nota

   Usare i criteri dei controller di dominio predefiniti o un oggetto Criteri di gruppo dedicato per impostare questi criteri.

4. Dalla finestra visualizzata passare a Criteri>di configurazione>computer Impostazioni di Windows Impostazioni> di sicurezza e, a seconda dei criteri da abilitare, eseguire le operazioni seguenti:

   1. Passare a Criteri di controllo avanzati Criteri di>controllo Criteri di controllo. Ad esempio:

      

   2. In Criteri di controllo modificare ognuno dei criteri seguenti e selezionare Configura gli eventi di controllo seguenti per gli eventi Success e Failure.

      Criteri di controllo	Sottocategoria	ID evento trigger
      Accesso account	Controllare la convalida delle credenziali	4776
      Gestione dell'account	Controlla gestione account computer *	4741, 4743
      Gestione dell'account	Controllo della gestione dei gruppi di distribuzione	4753, 4763
      Gestione dell'account	Controlla la gestione dei gruppi di sicurezza *	4728, 4729, 4730, 4732, 4733, 4756, 4757, 4758
      Gestione dell'account	Controllo della gestione di account utente	4726
      Accesso DS	Controllo delle modifiche al servizio directory	5136
      Di sistema	Controlla estensione del sistema di sicurezza *	7045
      Accesso DS	Controllo dell'accesso al servizio directory	4662 - Per questo evento, è necessario configurare anche il controllo degli oggetti di dominio.

      Nota

      * Le sottocategorie annotate non supportano gli eventi di errore. Tuttavia, è consigliabile aggiungerli a scopo di controllo nel caso in cui vengano implementati in futuro. Per altre informazioni, vedere Audit Computer Account Management, Audit Security Group Management e Audit Security System Extension.For more information, see Audit Computer Account Management, Audit Security Group Management, and Audit Security System Extension.

      Ad esempio, per configurare Audit Security Group Management, in Gestione account fare doppio clic su Controlla gestione gruppo di sicurezza e quindi selezionare Configura gli eventi di controllo seguenti per gli eventi Success e Failure:

      

5. Da un prompt dei comandi con privilegi elevati immettere gpupdate.

6. Dopo aver applicato il criterio tramite l'oggetto Criteri di gruppo, i nuovi eventi sono visibili nella Visualizzatore eventi, in Log di Windows -> Sicurezza.

Per testare i criteri di controllo dalla riga di comando, eseguire il comando seguente:

auditpol.exe /get /category:*

Per altre informazioni, vedere la documentazione di riferimento di auditpol.

Configurare le impostazioni dei criteri di controllo avanzati con PowerShell

Questa procedura descrive come modificare i criteri di controllo avanzati del controller di dominio in base alle esigenze di Defender per identità tramite PowerShell.

Problema di integrità correlato: Il controllo avanzato di Servizi directory non è abilitato in base alle esigenze

Per configurare le impostazioni, eseguire:

Set-MDIConfiguration [-Mode] <String> [-Configuration] <String[]> [-CreateGpoDisabled] [-SkipGpoLink] [-Force]

Dove:

• Mode specifica se si desidera utilizzare la modalità Domain o LocalMachine . In modalità dominio , le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In modalità LocalMachine le impostazioni vengono raccolte dal computer locale.

• La configurazione specifica la configurazione da impostare. Usare All per impostare tutte le configurazioni.

• CreateGpoDisabled specifica se gli oggetti Criteri di gruppo vengono creati e mantenuti disabilitati.

• SkipGpoLink specifica che i collegamenti degli oggetti Criteri di gruppo non vengono creati.

• Force specifica che la configurazione è impostata o che gli oggetti Criteri di gruppo vengono creati senza convalidare lo stato corrente.

Per visualizzare i criteri di controllo, usare il comando Get-MDIConfiguration per visualizzare i valori correnti:

Get-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>

Dove:

• Mode specifica se si desidera utilizzare la modalità Domain o LocalMachine . In modalità dominio , le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In modalità LocalMachine le impostazioni vengono raccolte dal computer locale.

• La configurazione specifica la configurazione da ottenere. Usare All per ottenere tutte le configurazioni.

Per testare i criteri di controllo, usare il comando Test-MDIConfiguration per ottenere una true risposta o false per verificare se i valori sono configurati correttamente:

Test-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>

Dove:

• Mode specifica se si desidera utilizzare la modalità Domain o LocalMachine . In modalità dominio , le impostazioni vengono raccolte dagli oggetti Criteri di gruppo. In modalità LocalMachine le impostazioni vengono raccolte dal computer locale.

• La configurazione specifica la configurazione da testare. Usare All per testare tutte le configurazioni.

Per altre informazioni, vedere i riferimenti a PowerShell di DefenderForIdentity seguenti:

• Set-MDIConfiguration
• Get-MDIConfiguration
• Test-MDIConfiguration

Configurare il controllo NTLM

Questa sezione descrive i passaggi di configurazione aggiuntivi necessari per controllare l'ID evento 8004.

Problema di integrità correlato: Il controllo NTLM non è abilitato

Per configurare il controllo NTLM:

1. Dopo aver configurato le impostazioni iniziali dei criteri di controllo avanzati (UI / PowerShell), aprire Gestione Criteri di gruppo e passare a Criteri di dominio predefiniti Criteri>di sicurezza locali criteri>locali.

2. In Opzioni di sicurezza configurare i criteri di sicurezza specificati come segue:

   Impostazione dei criteri di sicurezza	Valore
   Sicurezza di rete: Limitare NTLM: traffico NTLM in uscita verso server remoti	Controlla tutto
   Sicurezza di rete: Limita NTLM: controlla l'autenticazione NTLM in questo dominio	Abilita tutti
   Sicurezza di rete: Limita NTLM: controlla il traffico NTLM in ingresso	Abilitare il controllo per tutti gli account

Ad esempio, per configurare il traffico NTLM in uscita verso server remoti, in Opzioni di sicurezza fare doppio clic su Sicurezza di rete: Limita NTLM: Traffico NTLM in uscita verso server remoti e quindi selezionare Controlla tutto:

Configurare il controllo degli oggetti di dominio

Per raccogliere eventi per le modifiche agli oggetti, ad esempio l'evento 4662, è necessario configurare anche il controllo degli oggetti nell'utente, nel gruppo, nel computer e in altri oggetti. Questa procedura descrive come abilitare il controllo nel dominio di Active Directory.

Problema di integrità correlato: Il controllo oggetti di Directory Services non è abilitato come richiesto

Per configurare il controllo degli oggetti di dominio:

1. Passare alla console di Utenti e computer di Active Directory.

2. Selezionare il dominio da controllare.

3. Selezionare il menu Visualizza e selezionare Funzionalità avanzate.

4. Fare clic con il pulsante destro del mouse sul dominio e scegliere Proprietà. Ad esempio:

   

5. Passare alla scheda Sicurezza e selezionare Avanzate. Ad esempio:

   

6. In Impostazioni di sicurezza avanzate selezionare la scheda Controllo e quindi selezionare Aggiungi. Ad esempio:

   

7. Selezionare Seleziona un'entità. Ad esempio:

   

8. In Immettere il nome dell'oggetto da selezionare immettere **Tutti e selezionare Controlla nomi>OK. Ad esempio:

   

9. Si torna quindi a Voce di controllo. Effettuare le selezioni seguenti:

   1. Per Tipo selezionare Operazione riuscita.

   2. Per Si applica a selezionare Oggetti Utente discendente .

   3. In Autorizzazioni scorrere verso il basso e selezionare il pulsante Cancella tutto . Ad esempio:

      

   4. Scorrere il backup e selezionare Controllo completo. Vengono selezionate tutte le autorizzazioni.

   5. Deselezionare la selezione per il contenuto dell'elenco, Leggere tutte le proprietà e Autorizzazioni lettura e selezionare OK. In questo modo vengono impostate tutte le impostazioni Proprietà su Write. Ad esempio:

      

      Ora, quando viene attivato, tutte le modifiche rilevanti ai servizi directory vengono visualizzate come 4662 eventi.

10. Ripetere i passaggi di questa procedura, ma per Si applica a, selezionare i tipi di oggetto seguenti:

    • Oggetti gruppo discendente
    • Oggetti computer discendenti
    • Descendant msDS-GroupManagedServiceAccount Objects
    • Oggetti msDS-ManagedServiceAccount discendenti

Configurare il controllo in un'istanza di Active Directory Federation Services (AD FS)

Problema di integrità correlato: il controllo nel contenitore ADFS non è abilitato in base alle esigenze

Per configurare il controllo in active Directory Federation Services (AD FS):To configure auditing on an Active Directory Federation Services (AD FS):

1. Passare alla console Utenti e computer di Active Directory e selezionare il dominio in cui si vuole abilitare i log.

2. Passare a Dati>programma Microsoft>ADFS. Ad esempio:

   

3. Fare clic con il pulsante destro del mouse su ADFS e scegliere Proprietà.

4. Passare alla scheda Sicurezza e selezionare Advanced>Advanced Security Settings>Auditing scheda >Add Select a principal (Impostazioni>avanzate di sicurezza).

5. In Immettere il nome dell'oggetto da selezionare immettere Tutti.

6. Selezionare Controlla nomi>OK.

7. Si torna quindi a Voce di controllo. Effettuare le selezioni seguenti:

   • Per Tipo selezionare Tutto.
   • Per Si applica per selezionare Questo oggetto e tutti gli oggetti discendenti.
   • In Autorizzazioni scorrere verso il basso e selezionare Cancella tutto. Scorrere verso l'alto e selezionare Leggi tutte le proprietà e Scrivi tutte le proprietà.

   Ad esempio:

   

8. Seleziona OK.

Configurare il controllo per Servizi certificati Active Directory

Se si usa un server dedicato con Servizi certificati Active Directory (AD CS) configurato, assicurarsi di configurare il controllo come indicato di seguito per visualizzare avvisi dedicati e report di Secure Score.

1. Creare criteri di gruppo da applicare al server servizi certificati Active Directory. Modificarlo e configurare le impostazioni di controllo seguenti:

   1. Passare a e selezionare Doppio selezionare Configurazione computer\Criteri\Impostazioni di Windows\Impostazioni di sicurezza\Configurazione avanzata criteri di controllo\Criteri di controllo\Accesso agli oggetti\Controlla servizi di certificazione.

   2. Selezionare questa opzione per configurare gli eventi di controllo per Operazione riuscita e Errore. Ad esempio:

      

2. Configurare il controllo nell'autorità di certificazione (CA) usando uno dei metodi seguenti:

   • Per configurare il controllo ca tramite la riga di comando, eseguire:

     certutil –setreg CA\AuditFilter 127 
     
     net stop certsvc && net start certsvc
     

   • Per configurare il controllo ca tramite l'interfaccia utente grafica:

     1. Selezionare Start -> Certification Authority (applicazione desktop MMC) . Fare clic con il pulsante destro del mouse sul nome della CA e scegliere Proprietà. Ad esempio:

        

     2. Selezionare la scheda Controllo , selezionare tutti gli eventi da controllare e quindi selezionare Applica. Ad esempio:

        

Configurare il controllo nel contenitore di configurazione

Problema di integrità correlato: il controllo nel contenitore di configurazione non è abilitato in base alle esigenze

1. Aprire ADSI Edit (Modifica ADSI) selezionando Start Run (Avvia>esecuzione). Immettere ADSIEdit.msc e selezionare OK.

2. Nel menu Azione selezionare Connetti a.

3. Nella finestra di dialogo Impostazioni di connessione in Selezionare un contesto di denominazione noto selezionare Configurazione>OK.

4. Espandere il contenitore Configurazione per visualizzare il nodo Configurazione , a partire da "CN=Configuration,DC=..."

5. Fare clic con il pulsante destro del mouse sul nodo Configurazione e scegliere Proprietà. Ad esempio:

   

6. Selezionare la scheda >Sicurezza Avanzate.

7. In Impostazioni di sicurezza avanzate selezionare la scheda >Controllo Aggiungi.

8. Selezionare Seleziona un'entità.

9. In Immettere il nome dell'oggetto da selezionare immettere **Tutti e selezionare Controlla nomi>OK.

10. Si torna quindi a Voce di controllo. Effettuare le selezioni seguenti:

    • Per Tipo selezionare Tutto.
    • Per Si applica per selezionare Questo oggetto e tutti gli oggetti discendenti.
    • In Autorizzazioni scorrere verso il basso e selezionare Cancella tutto. Scorrere verso l'alto e selezionare Scrivi tutte le proprietà.

    Ad esempio:

    

11. Seleziona OK.

Configurazioni legacy

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics]
"15 Field Engineering"=dword:00000005

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters]
"Expensive Search Results Threshold"=dword:00000001
"Inefficient Search Results Threshold"=dword:00000001
"Search Time Threshold (msecs)"=dword:00000001

Contenuto correlato

Per altre informazioni, vedi:

• Che cos'è la raccolta di eventi di Windows per Defender per identità
• Controllo della sicurezza di Windows
• Criteri di controllo della sicurezza avanzati

Passaggio successivo