Аудит учётных записей и изменений в службе каталогов

Первый шаг к безопасности данных – возможность управлять правами доступа к ним

DCAP-возможности

Часто доступ получают через изменение состава групп в службе каталогов или манипуляции с учётными записями. Важно знать, кто имеет доступ, и отслеживать все изменения прав.

InfoWatch DAT

Контролирует изменения групп в службе каталогов Microsoft Active Directory

Уведомляет по email об изменениях привилегированных групп

Фокусирует внимание на учётных записях, представляющих опасность

Контролирует предоставление прав доступа к почтовым ящикам

Контролирует изменение прав доступа к расшаренным директориям

Рассылает уведомления об изменениях групп доступа

InfoWatch DAT cохраняет важные для ИБ события Microsoft Active Directory в режиме реального времени

InfoWatch Data Access Tracker

Сохраняет и не «сбрасывает» важные для ИБ события AD
Аккумулирует данные со всех контроллеров доменов организации
Данные доступны и ИБ, и ИТ в любой момент времени в виде сфокусированных отчётов

Преимущества по сравнению с аудитом AD «вручную»

Автоматизированные отчёты InfoWatch DAT

По событиям службы каталогов

По учетным записям

По правам доступа к почтовым ящикам

Изменения состава привилегированных групп
Например, администратор на время выдал повышенный уровень прав доступа злоумышленнику
Неудачные попытки входа
Например, попытки подбора пароля к учётной записи коллеги
События блокировки пользователей
Могут говорить о попытке подобрать пароль
Изменение или сброс пароля администраторами
Например, администратор может сбросить пароль, чтобы войти в учётную запись сотрудника. Так он замаскирует сброс пароля политиками безопасности
Подозрительная активность пользователей
Кто начал входить в домен после длительного перерыва
Изменение статуса учетных записей
Создание, удаление или блокировку учетных записей пользователей

Да, мне интересно

Пользователи с постоянным паролем
Бессрочный пароль повышает вероятность подбора
Пользователи без пароля
Явная незащищённость учётной записи, вероятно умышленная
Заблокированные пользователи
Например, сотрудник мог создать несколько учётных записей и надеяться, что IT забудет какую-нибудь из них отключить
Пользователи с истёкшим паролем
Старый пароль — это очевидная уязвимость
Неактивныe компьютеры и компьютеры, никогда не входившие в систему
Их могут использовать для атаки
Пользователи, никогда не входившие в систему
«Мёртвые души» могут использовать для атаки

Да, мне интересно

Почтовые ящики с общим доступом отображает ящики, к которым имеют доступ другие пользователи, кроме владельца
Учетные записи с доступом к ящикам других пользователей показывает список пользователей и групп с доступом к почтовым ящикам других пользователей

Да, мне интересно

InfoWatch DAT может работать в Центре расследований совместно с Vision, Activity Monitor, Data Discovery и Prediction

Пример:

Cпециалист ИБ получил почтовое уведомление DAT о добавлении сотрудника в привилегированную группу.
Затем перешёл в раздел «События» и увидел, что сотрудник копировал конфиденциальные данные на флешку.
Без перестройки фильтра на графе связей «Аналитики» убедился, что ранее сотрудник не работал с такой информацией и никто ему эти данные не пересылал.
В разделе «Наблюдение» можно в режиме реального времени проконтролировать, что сотрудник делает с этими файлами, и принудительно заблокировать ПК.

Так специалист ИБ может собрать необходимые данные для расследования и оперативно предотвратить нарушение без переключения между консолями средств ИБ InfoWatch.

Данные InfoWatch DAT отображаются в разделе «Инфраструктура».