{"id":1397,"date":"2011-07-29T17:20:38","date_gmt":"2011-07-29T20:20:38","guid":{"rendered":"http:\/\/www.radians.com.ar\/blog\/?p=1397"},"modified":"2011-07-29T17:20:38","modified_gmt":"2011-07-29T20:20:38","slug":"auditoria-en-windows-server-2008-con-los-auditpol-exe-y-wevtutil-exe","status":"publish","type":"post","link":"https:\/\/www.radians.com.ar\/blog\/?p=1397","title":{"rendered":"Auditoria en Windows Server 2008 con los auditpol.exe y wevtutil.exe"},"content":{"rendered":"

Hace bastante tiempo escrib\u00ed una nota sobre auditoria y como habilitarla: <\/font>Habilitando la Auditoria Object Access {HOWTO}<\/font><\/a>. Hoy vamos a ver un poco mas sobre este tema tan importante; ya que es recomendable utilizarla, ella nos puede ayudar a diagnosticar los problemas y determinar la causa, y por supuesto con la protecci\u00f3n de nuestros servidores y nuestra red. Obviamente el abuso de este tipo de herramientas no es recomendable y puede ser contraproducente, ya que estar\u00edamos teniendo gran cantidad de eventos con informaci\u00f3n que si no la utilizamos no sirve de nada, y encontrar los eventos que necesitemos ser\u00e1 muy dif\u00edcil y llevara mucho tiempo.<\/font><\/p>\n

Como venimos viendo hace tiempo en el Blog, en Windows Server 2003 cuando es un domain controller, si vemos en el editor de pol\u00edticas de grupo, en la secci\u00f3n Computer Configuration, Windows Settings, Local Policies, Audit Policy<\/font>.<\/font><\/p>\n

\"WS2003_PolicyEditor\"<\/a><\/p>\n

Est\u00e1n habilitadas ciertas pol\u00edticas de auditoria. Al tenerlas habilitadas se genera una serie de eventos en los registros de seguridad, no son grandes cantidades como para entorpecer el trabajo de verificarlos y auditarlos. Obviamente, esto depende mucho de como tenemos configurado nuestro dominio y como interactuamos con el, nosotros y nuestros usuarios.<\/font><\/p>\n

El problema surge cuando los administradores activan mas opciones de auditoria, y muchas veces abarcan mucho mas de lo requerido, incluso mas que lo que implican ciertas normas. Quiero que quede claro que el problema de tener muchos eventos es lo complicado que se vuelve leerlos, encontrar los eventos que realmente nos importan y actuar en consecuencia.<\/font><\/p>\n

En Windows Server 2008, cambia un poco el tema, como para hacer un poco mas f\u00e1cil la tarea de revisar los logs y tomar las acciones que creamos convenientes. Al instalar un controlador de dominio las pol\u00edticas de auditoria por defecto est\u00e1n configuradas de la siguiente manera:<\/font><\/p>\n

\"WS2008_PolicyEditor\"<\/a><\/p>\n

Pero esto no significa que no tiene habilitada ning\u00fan tipo de pol\u00edtica de auditoria, sino que simplemente no se encuentra configurada en esta ventana. Podemos ver en mayor detalle las pol\u00edticas con el comando auditpol.exe<\/font> de Windows 7, Windows Server 2008, Windows Server 2008 R2, Windows Vista.<\/font><\/p>\n

Recordemos, que este comando nos muestra informaci\u00f3n y realiza funciones para manipular las pol\u00edticas de auditor\u00eda. La directiva de auditor\u00eda de l\u00ednea de comandos se puede utilizar para:<\/font><\/p>\n