Perché i registri di sicurezza della workstation sono così importanti?
Nessuno ha bisogno di essere convinto che il monitoraggio dei log di sicurezza del controller di dominio sia importante; i server membri sono altrettanto importanti: la maggior parte delle persone capisce che i server membri sono dove si trovano i “nostri dati”. Ma spesso mi trovo ad affrontare una dura battaglia per aiutare le persone a capire perché i registri di sicurezza delle workstation sono così importanti.
Spesso sento gli amministratori IT dirmi che hanno politiche che vietano di archiviare informazioni riservate localmente. Ma la verità è che le workstation e i laptop contengono sempre informazioni sensibili e non c’è modo di impedirlo. Oltre ad applicazioni come Outlook, File offline e Area di lavoro SharePoint che memorizzano nella cache locale le informazioni del server, c'è anche il file di paging, che può contenere il contenuto di qualsiasi documento o altre informazioni in qualsiasi momento.
Ma anche se non fossero presenti informazioni riservate sulle workstation, i relativi registri di sicurezza sarebbero comunque molto importanti per l'audit trail aziendale, per le analisi forensi e per il rilevamento di minacce persistenti avanzate. Esistono moltissime informazioni sugli audit trail registrate dalle workstation che non possono essere trovate da nessun'altra parte e di conseguenza una serie di domande a cui è possibile rispondere solo tramite i registri delle workstation.
Prima di tutto, se ti interessa sapere quando un utente si è disconnesso, questa informazione può essere trovata solo nel registro di sicurezza della workstation. I controller di dominio controllano l'autenticazione iniziale durante l'accesso a una workstation, ma successivamente si dimenticano essenzialmente dell'utente. Non è possibile determinare i tempi di disconnessione in base alle connessioni alle cartelle condivise perché Windows non mantiene aperti gli accessi alla rete ai file server tra gli accessi ai file. Pertanto, durante la disconnessione da Windows, l'unico computer sulla rete che registra ciò è la workstation.
E per quanto riguarda gli errori di accesso? Sì, i controller di dominio registrano gli errori di autenticazione ma gli eventi registrati sono legati a Kerberos e i codici di errore si basano sui codici di errore RFC 1510. I codici di errore Kerberos non sono così granulari e non si associano direttamente a tutti i motivi per cui un accesso può non riuscire in Windows. Pertanto, alcuni codici di errore di autenticazione forniti negli ID evento 4768 e 4771 possono indicare uno dei diversi motivi possibili. Ad esempio, il codice di errore 0×12 che Kerberos definisce come "Le credenziali del cliente sono state revocate" può significare che l'accesso non è riuscito a causa della disabilitazione, del blocco o del mancato orario di accesso autorizzato dell'account.
Con l’attenzione odierna da parte di malintenzionati sugli endpoint, è anche importante sapere se qualcuno sta tentando di entrare in una workstation. Se l'aggressore riesce ad accedere alla workstation con un account di dominio, la prova di ciò può essere trovata nei registri di sicurezza del controller di dominio cercando lo stesso negli eventi menzionati sopra. Tuttavia, le workstation dispongono anche di account locali e questi sono grandi bersagli per gli aggressori poiché gli account locali sono spesso scarsamente protetti e tendono a passare inosservati in termini di monitoraggio della sicurezza. Quando si tenta di accedere a una workstation con un account locale, questa attività non viene registrata sul controller di dominio. Poiché l'autenticazione viene gestita localmente, l'evento viene registrato anche localmente sotto forma di ID evento 4776. La descrizione dell'evento può creare confusione; si legge: “Il controller di dominio non è riuscito a convalidare le credenziali per un account. " In realtà dovrebbe essere indicato "il sistema" invece di "controller del dominio" perché questo evento viene registrato su tutti i tipi di computer.
È possibile tenere traccia dei file a cui un utente accede sui file server con controllo del file system su tali server, ma una traccia di controllo di quali programmi sono stati eseguiti dall'utente viene registrata nei registri di sicurezza della workstation. Durante le indagini forensi ho scoperto che sapere quali programmi ha eseguito un utente e per quanto tempo può essere fondamentale per documentare ciò che è realmente accaduto. Inoltre, molti degli attacchi APT (Advanced Persistent Threat) sferrati dipendono da eseguibili dannosi eseguiti sulle workstation degli utenti finali. Non puoi permetterti di non avere un registro di ciò che è in esecuzione sui tuoi endpoint. Sfortunatamente, la categoria Monitoraggio processo (nota anche come Monitoraggio dettagliato) registra solo i programmi eseguiti sul computer locale, pertanto nei registri di sicurezza del controller di dominio o del server membro non sono disponibili informazioni sull'utilizzo dei programmi desktop dell'utente finale. Gli unici eventi di processo registrati sui server sono i programmi server effettivi che vengono eseguiti lì.
Sono disponibili molte informazioni critiche sull'audit trail solo se il controllo è abilitato sulle workstation. Naturalmente abilitare il controllo sulle workstation è una cosa mentre raccogliere i log da migliaia di computer aggiuntivi è un'altra. Esistono alcuni eventi di sicurezza della workstation molto importanti che il controllo di Windows non registra. Ad esempio, Windows non controlla quando i dispositivi o gli archivi rimovibili come le unità flash sono collegati o disconnessi e non registra quali file vengono trasferiti da o verso l'archivio rimovibile, né controlla l'installazione del software.
Le workstation sono importanti quanto qualsiasi altro componente di una rete sicura. Se un utente malintenzionato riesce a compromettere la workstation di un utente con accesso a informazioni critiche, può impersonare quell'utente e accedere a qualsiasi informazione o applicazione a cui l'utente ha accesso sulla rete. Anche le postazioni di lavoro degli utenti senza accesso a risorse sensibili sono importanti perché gli aggressori, soprattutto negli scenari APT, sono felici di iniziare con qualsiasi endpoint come testa di ponte e attaccare altri sistemi da lì. Inoltre, le workstation sono probabilmente i componenti più vulnerabili della rete poiché elaborano moltissimi contenuti provenienti da Internet connessi alla navigazione web e alla posta elettronica, perché entrano in contatto con file potenzialmente infetti su archivi rimovibili e perché si connettono ad altre reti non sicure come Wi-Fi. Hotspot Fi.
In un webinar che presenterò entro la fine dell’anno in collaborazione con Prism Microsystems approfondirò questi problemi e come affrontarli. È importante istruire i decisori sul motivo per cui la sicurezza degli endpoint e i log di controllo degli endpoint sono così importanti. Dobbiamo andare oltre la mentalità ispirata al mainframe secondo cui la sicurezza conta solo nei sistemi centralizzati in cui risiedono i dati critici. Assicurati di registrarti per questo evento e di invitare il tuo manager.