Sledování událostí v Active Directory není nikterak jednoduché – jasně, sledování událostí na jednom zařízení je s nativními nástroji dostačující, avšak pokud se bavíme o společnosti se sítí obsahující už několik desítek či stovek koncových stanic, několik DC a sdílená úložiště, nativní nástroje již ztrácí dech. V dnešní online době je absolutní nutností mít přehled o všem, co se v naší síti děje. Můžeme tak zabránit obrovským škodám, který může případný útok způsobit.
Máme zákazníka, kterému jsme dodali řešení Service Desku, který nás znovu kontaktoval po tom, co se mu stala velmi nepříjemná věc.
V jeho společnosti pracoval nějakou dobu mzdový účetní, který ze začátku působil kvalifikovaně, seriózně a důvěryhodně, avšak po nějakém čase se u něj začaly projevovat problémy, které vedly k jeho propuštění. Zdálo se, že jeho odchod proběhl hladce. Avšak po několika týdnech, se zjistilo, že na sdíleném úložišti chybí spousta důležitých dokumentů, některé jsou nesmyslně změněné, a na úložišti Synology chybí všechny archivní záznamy.
Jelikož je to poměrně malá firma, na IT bezpečnost nekladli moc velký důraz. Z jejich pohledu neměli vlastně ani důvod – nikdy se jim nic podobného nestalo.
Ihned po odhalení této nepříjemnosti začali zjišťovat, co tedy vlastně chybí, ale pro nesprávné nastavení logování událostí a absenci archivování těchto logů, se k přesným údajům nedostali. Většinu dat se obnovit povedlo, avšak spousta práce od poslední zálohy byla ztracena. Druhou nepříjemnou skutečností bylo to, že bez těchto logů, ke kterým souborům tento propuštěný zaměstnanec přistupoval, bylo nemožné věc dokázat a moci se domoci svého práva u soudu.
Po implementaci nástroje ADAudit Plus může IT administrátor této společnosti na několik kliků zjistit, kdo a co přesně ve firemní síti prováděl.
ADAudit Plus je nástroj pro auditování a reporting Active Directory, Azure AD, souborových serverů, member serverů a pracovních stanic. Nabízí monitorování v reálném čase, analýzu chování uživatelů a entit a reporty o změnách, které vám pomohou udržet vaši infrastrukturu zabezpečenou.
Sledujte všechny změny objektů Windows AD, včetně uživatelů, skupin, počítačů, objektů GPO a organizačních jednotek. Získejte hybridní monitorování AD pomocí jediného korelovaného pohledu na všechny aktivity probíhající napříč místní AD a Azure AD. Monitorujte aktivitu přihlášení a odhlášení každého uživatele, včetně každého úspěšného a neúspěšného pokusu o přihlášení na síťových pracovních stanicích. Auditujte souborové servery Windows, clustery převzetí služeb při selhání, úložiště NetApp a EMC a dokumentujte změny souborů a složek. Monitorujte konfigurace systému, programové soubory a změny složek, abyste zajistili integritu souborů. Sledujte změny na serverech, tiskárnách a zařízeních USB se systémem Windows pomocí souhrnu událostí. Využijte pokročilé statistické analýzy a techniky strojového učení k detekci neobvyklého chování a obraně proti kybernetickým útokům.
Na otázku, zda tento, nebo jiný nástroj pro sledování Active Directory, potřebujete si musíte odpovědět sami. Před tím, než se rozhodnete, podívejte na zprávy z poslední doby, zda probíhali nějaké kybernetické útoku na různé české i zahraniční organizace. Probíhalo jich opravdu mnoho.
Do tohoto článku se samozřejmě nedalo zahrnout vše, proto přikládáme několik odkazů, ne kterých najdete doplňující informace:
Vyzkouším to!
Všechny zmíněné funkce (a nejen je) si můžete vyzkoušet – a to zdarma! Kontaktujte nás, my s vámi probereme řešení přesně pro Vás a připravíme třicetidenní PoC, na kterém si otestujete funkčnost řešení, nebo si nástroj stáhněte ze stránek ManageEngine a vyzkoušejte si ho na vlastní pěst.
