Consejos para planear una auditoría y Cómo activar una directiva de auditoría
Si auditamos demasiados tipos de sucesos quizás creemos excesivo tiempo de procesamiento, que puede resultar en una disminución de rendimiento en el sistema. Así que cuando vamos a planear una auditoría deberíamos tener en cuenta:
- Determinar los equipos a los que se les aplicará la auditoría. Planificar que auditar para cada uno, ya que Windows Server 2003 audita sucesos en cada equipo separadamente.
- Determinar los tipos de sucesos a auditar, como el acceso a archivos, inicios de sesión, etc…
- Determinar si auditar el acierto o el error del suceso, o ambos. Siguiendo los aciertos puede indicarte, a menudo, como W2k3 o los usuarios acceden a archivos o impresoras específicas.
- Determinar si es necesario el seguimiento de pautas de uso del sistema. De ser así, planificar el archivo de los registros de sucesos.
- Revisar los registros de seguridad frecuentemente y con regularidad de acuerdo a una agenda. La sola configuración de una auditoría no nos alertará de las brechas de seguridad.
Habilitar una directiva de auditoría
Hay dos procedimientos para habilitar una directiva de auditoría, dependiendo de si el equipo está en un dominio o en un grupo de trabajo.
En un equipo local:
- Desde las herramientas administrativas abriremos Directiva de Seguridad Local.
- En el árbol de la consola, expandimos Directivas Locales y doble clic en Directiva de auditoría.
- En el panel de detalles, doble clic en la dpolítica que queremos habilitar/deshabilitar.
- Marcamos uno o ambos y pulsamos en Aceptar:
- Auditar aciertos, seleccionamos la casilla de verificación Correcto.
- Auditar errores, seleccionamos la casilla de verificación Erróneo.
En un dominio o Unidad Organizativa:
- En GPM, creamos o buscamos una GPO vinculada a una OU y la editamos.
- En el árbol de consola, nos situamos en Configuración de equipo, Configuración de Windows, Configuración de seguridad, Directivas Locales, Directivas de auditoría.
- En el panel de detalles, doble clic sobre la directiva que queremos habilitar/deshabilitar.
- Marcamos uno o ambos y pulsamos en Aceptar:
- Auditar aciertos, seleccionamos la casilla de verificación Correcto.
- Auditar errores, seleccionamos la casilla de verificación Erróneo.