Auditoría del uso de privilegios
Al habilitar esta auditoría registramos el momento en que un usuario o servicio utiliza uno de los derechos de usuario para llevar a cabo un procedimiento, con la excepción de unos pocos derechos de usuario que no se auditarán.
Los derechos que no se auditan:
- Saltarse la comprobación de recorrido
- Depuración de programas
- Creación de un token
- Reemplazar token de nivel de proceso
- Generar auditorías de seguridad
- Copia de seguridad de archivos y directorios(*)
- Restaurar archivos y directorios(*)
* Windows Server 2003, 2000 y XP disponen de una configuración de directiva de grupo bajo Opciones de seguridad llamada Auditoría: auditar el uso del privilegio de copia de seguridad y restauración.
La auditoría del uso de privilegios nos permite detectar eventos asociados con ataques bastante comunes, entre estos eventos tenemos a:
- Apagado de un equipo local o remoto.
- Carga/descarga de controladores de dispositivo.
- Ver el registro de seguridad.
- Tomar propiedad de objetos.
- Actuar como parte del sistema operativo.
Debemos habilitar los errores como mínimo, ya que es un indicador de un problema de red y frecuentemente podría ser un signo de haber intentado aprovechar alguna brecha de seguridad. Los aciertos debemos habilitarlos en caso de razones específicas para hacerlo, ya que se produce una entrada cada vez que un usuario hace uso correcto de sus privilegios.