Configurar el Reenvío de Registros de Eventos para Defender for Identity

El reenvío de registros de eventos de Windows es una técnica fundamental para fortalecer la seguridad de tu infraestructura de TI, especialmente cuando utilizas herramientas de detección de amenazas como Microsoft Defender for Identity. Este artículo te guiará a través del proceso de configuración del reenvío de eventos, permitiéndote recopilar información crucial desde tus controladores de dominio y enviarla a tu sensor independiente de Defender for Identity. Al hacerlo, ampliarás significativamente la visibilidad de tu entorno y mejorarás la capacidad de detección de actividades sospechosas que podrían pasar desapercibidas de otra manera.

¿Por qué es Importante el Reenvío de Registros de Eventos?

Microsoft Defender for Identity se basa en el análisis del tráfico de red del controlador de dominio para identificar amenazas. Sin embargo, existen ciertos eventos de Windows que no son capturados directamente por este análisis de red, pero que contienen información valiosa para la detección de actividades maliciosas. Aquí es donde entra en juego el reenvío de registros de eventos. Al configurar esta funcionalidad, puedes complementar la información recopilada por Defender for Identity con eventos adicionales directamente desde los registros de Windows de tus controladores de dominio. Esto resulta en una visión más completa y detallada de la actividad en tu entorno, lo que a su vez se traduce en una detección de amenazas más precisa y efectiva.

Es importante destacar que, si bien los sensores independientes de Defender for Identity son útiles, no admiten la recopilación de registros de Seguimiento de eventos para Windows (ETW), que proporcionan datos para múltiples detecciones. Para una cobertura completa de tu entorno, se recomienda implementar el sensor de Defender for Identity completo en los controladores de dominio.

Prerrequisitos Antes de Comenzar

Antes de iniciar la configuración del reenvío de registros de eventos, asegúrate de cumplir con los siguientes requisitos:

• Controlador de dominio correctamente configurado: Verifica que tu controlador de dominio esté configurado para capturar los eventos necesarios. Consulta la documentación de Microsoft Defender for Identity para obtener una lista detallada de los eventos requeridos.
• Port Mirroring (Reflejo de Puertos): Asegúrate de tener configurado el port mirroring para que el sensor independiente de Defender for Identity pueda analizar el tráfico de red.

Paso 1: Agregar la Cuenta de Servicio de Red al Dominio

En este primer paso, agregaremos la cuenta de servicio de red al grupo de dominio "Lectores de registro de eventos". Esto permite que el servicio de reenvío de eventos acceda a los registros de eventos en el controlador de dominio.

1. Abre Usuarios y equipos de Active Directory.
2. Navega hasta la carpeta Built-in.
3. Haz doble clic en Lectores de registro de eventos.
4. Selecciona la pestaña Miembros.
5. Si Servicio de red no está en la lista, haz clic en Agregar.
6. En el campo "Escriba los nombres de objeto para seleccionar", introduce Servicio de red.
7. Haz clic en Comprobar nombres y luego en Aceptar dos veces.

Una vez que hayas agregado el Servicio de red al grupo Lectores de registro de eventos, es crucial reiniciar los controladores de dominio para que los cambios surtan efecto. Este reinicio asegura que los permisos actualizados se apliquen correctamente.

Paso 2: Crear una Política que Establezca la Configuración del Administrador de Suscripciones de Destino

Este paso implica la creación de una política en los controladores de dominio para configurar el ajuste del "Administrador de suscripciones de destino". Esta política define dónde se enviarán los eventos reenviados.

Consejo: Puedes crear una política de grupo para estas configuraciones y aplicarla a cada controlador de dominio supervisado por el sensor independiente de Defender for Identity. Los siguientes pasos modifican la política local del controlador de dominio.

1. En cada controlador de dominio, ejecuta winrm quickconfig en una ventana de símbolo del sistema con privilegios elevados.
2. Desde el símbolo del sistema, introduce gpedit.msc para abrir el Editor de directivas de grupo local.
3. Navega hasta: Configuración del equipo > Plantillas administrativas > Componentes de Windows > Reenvío de eventos.
4. Haz doble clic en Configurar el administrador de suscripciones de destino.
5. Selecciona Habilitado.
6. En la sección Opciones, haz clic en Mostrar.
7. En la ventana Mostrar contenido, en la columna SubscriptionManagers, introduce el siguiente valor y haz clic en Aceptar:
   Server=http://<fqdnMicrosoftDefenderForIdentitySensor>:5985/wsman/SubscriptionManager/WEC,Refresh=10

   Reemplaza <fqdnMicrosoftDefenderForIdentitySensor> con el nombre de dominio completo (FQDN) de tu sensor independiente de Defender for Identity. Por ejemplo: Server=http://atpsensor.contoso.com:5985/wsman/SubscriptionManager/WEC,Refresh=10

8. Haz clic en Aceptar en la ventana de configuración de "Configurar el administrador de suscripciones de destino".
9. Desde un símbolo del sistema con privilegios elevados, ejecuta: gpupdate /force para forzar la actualización de la política de grupo.

Paso 3: Crear y Seleccionar una Suscripción en tu Sensor

En este último paso, crearemos una suscripción para usarla con Defender for Identity y luego la seleccionaremos desde tu sensor independiente. La suscripción define qué eventos se reenviarán y desde qué orígenes.

1. Abre un símbolo del sistema con privilegios elevados y ejecuta wecutil qc. Esto configura el servicio de recopilación de eventos de Windows.
2. Abre el Visor de eventos.
3. Haz clic con el botón derecho en Suscripciones y selecciona Crear suscripción.
4. Introduce un nombre y una descripción para la suscripción (por ejemplo, "Suscripcion Defender for Identity").
5. En Registro de destino, confirma que esté seleccionado Eventos reenviados. Para que Defender for Identity pueda leer los eventos, el registro de destino debe ser Eventos reenviados.
6. Selecciona Iniciado por el equipo de origen > Seleccionar equipos > Grupos de equipos > Agregar equipo de dominio.
7. Introduce el nombre del controlador de dominio en el campo "Escriba el nombre del objeto para seleccionar".
8. Haz clic en Comprobar nombres > Aceptar > Aceptar. Repite este proceso para agregar todos los controladores de dominio de los que deseas reenviar eventos.
9. Haz clic en Aceptar para volver a la ventana de configuración de la suscripción.
10. Selecciona Seleccionar eventos > Por registro > Seguridad.
11. En el campo Incluye/Excluye ID de evento, escribe los números de evento que deseas reenviar, separados por comas. Por ejemplo, para reenviar el evento de autenticación Kerberos fallida (ID 4776), introduce 4776. Puedes agregar múltiples IDs de evento. Haz clic en Aceptar.
12. Regresa a la ventana de símbolo del sistema que abriste en el primer paso.
13. Ejecuta los siguientes comandos, reemplazando SubscriptionName con el nombre que creaste para la suscripción:
    wecutil ss "SubscriptionName" /cm:"Custom"
wecutil ss "SubscriptionName" /HeartbeatInterval:5000
14. Regresa a la consola del Visor de eventos.
15. Haz clic con el botón derecho en la suscripción creada y selecciona Estado de tiempo de ejecución para verificar si hay algún problema con el estado.
16. Después de unos minutos, verifica que los eventos que configuraste para reenviar aparezcan en Eventos reenviados en el sensor independiente de Defender for Identity.

Consideraciones Adicionales y Mejores Prácticas

• Volumen de Eventos: Reenviar demasiados eventos puede generar una carga significativa en la red y en el sensor de Defender for Identity. Selecciona cuidadosamente los eventos que son realmente relevantes para la detección de amenazas. Comienza con un conjunto mínimo de eventos y amplíalo gradualmente según sea necesario.
• Seguridad del Canal de Comunicación: Asegúrate de que la comunicación entre los controladores de dominio y el sensor de Defender for Identity sea segura. Si bien este artículo se centra en la configuración básica, en entornos de producción, considera implementar HTTPS para el reenvío de eventos para cifrar la comunicación.
• Monitorización Continua: Una vez configurado el reenvío de eventos, monitoriza regularmente el estado de la suscripción y la recepción de eventos en el sensor de Defender for Identity. Esto te permitirá identificar rápidamente cualquier problema y asegurar que el reenvío de eventos funcione correctamente.
• Documentación de Eventos Relevantes: Mantén una documentación clara de los eventos que estás reenviando y por qué son importantes para la seguridad. Esto facilitará la resolución de problemas y la adaptación de la configuración a medida que evolucionen las amenazas.

Preguntas Frecuentes (FAQs)

¿Qué eventos debo reenviar para Defender for Identity?

La lista de eventos recomendados puede variar según la versión de Defender for Identity y las necesidades específicas de tu entorno. Consulta la documentación oficial de Microsoft Defender for Identity para obtener la lista más actualizada de eventos recomendados. Eventos comunes incluyen IDs relacionados con autenticación, creación de cuentas, modificaciones de grupos de seguridad y otros eventos relevantes para la detección de actividades sospechosas.

¿Qué puerto utiliza el reenvío de eventos de Windows?

El reenvío de eventos de Windows utiliza el puerto 5985 para HTTP y 5986 para HTTPS por defecto. Asegúrate de que estos puertos estén abiertos en los firewalls entre los controladores de dominio y el sensor de Defender for Identity.

¿Cómo puedo verificar si el reenvío de eventos está funcionando correctamente?

Puedes verificar el estado de la suscripción en el Visor de eventos (Estado de tiempo de ejecución). También puedes revisar el registro de eventos "Eventos reenviados" en el sensor de Defender for Identity para confirmar que los eventos se están recibiendo correctamente.

¿Puedo reenviar eventos desde varios controladores de dominio a un solo sensor de Defender for Identity?

Sí, puedes configurar el reenvío de eventos desde múltiples controladores de dominio a un único sensor independiente de Defender for Identity. En el Paso 3, simplemente agrega todos los controladores de dominio deseados a la suscripción.

¿Qué ocurre si el sensor de Defender for Identity no está disponible temporalmente? ¿Se pierden los eventos reenviados?

Por defecto, el reenvío de eventos de Windows no tiene un mecanismo de almacenamiento en búfer persistente a largo plazo. Si el sensor de Defender for Identity no está disponible, los eventos que se generen durante ese tiempo podrían perderse si el búfer de reenvío se llena. Para una mayor fiabilidad, considera implementar soluciones de almacenamiento en búfer o colas de mensajes más robustas si la disponibilidad del sensor es crítica.

Conclusión

Configurar el reenvío de registros de eventos para Microsoft Defender for Identity es un paso crucial para mejorar la seguridad de tu entorno de Active Directory. Siguiendo los pasos detallados en este artículo, podrás ampliar la visibilidad de tu infraestructura, complementar el análisis del tráfico de red y fortalecer significativamente tus capacidades de detección de amenazas. Recuerda monitorizar continuamente la configuración y ajustarla según las necesidades cambiantes de tu entorno de seguridad.