Kerberos a remplacé NT LAN Manager (NTLM) en tant qu'authentification par défaut pour le système d'exploitation Windows, car il s'agit d'une alternative beaucoup plus rapide et plus sûre. Les administrateurs informatiques peuvent activer l'audit de l'authentification Kerberos, ce qui permet d'enregistrer les événements créés au cours de ce processus. Les administrateurs peuvent surveiller ces événements pour garder un œil sur les échecs et les succès des utilisateurs qui se connectent au domaine. Tout anomalie soudaine, par exemple un nombre anormalement élevé de tentatives de connexion infructueuses, peut signaler une attaque par force brute, etc. Lisez la suite pour savoir comment auditer les événements d'authentification Kerberos :
Une fois les étapes ci-dessus terminées, les événements d'authentification Kerberos sont stockés dans le journal des événements. Ces événements peuvent être visualisés dans l'Observateur d'événements en effectuant les actions suivantes sur le contrôleur de domaine (DC) :
| ID d'événement | Sous-catégorie | Type d’événement | Description |
|---|---|---|---|
| 4768 | Service d’authentification Kerberos | Succès et échecs | Un ticket d’authentification Kerberos (TGT) a été demandé |
| 4769 | Opérations sur les tickets de service Kerberos | Succès et échecs | Un ticket de service Kerberos a été demandé |
| 4770 | Opérations sur les tickets de service Kerberos | Succès | Un ticket de service Kerberos a été renouvelé |
| 4771 | Service d’authentification Kerberos | Échec | Échec de la préauthentification Kerberos |
| 4772 | Service d’authentification Kerberos | Échec | Une demande de ticket d'authentification Kerberos a échoué |
| 4773 | Opérations sur les tickets de service Kerberos | Échec | Une demande de ticket de service Kerberos a échoué |
Limites de l'audit natif de l'Active Directory (AD) :
Un administrateur devrait surveiller les événements sur chaque contrôleur de domaine, ce qui représente une charge de travail excessive. Un outil centralisé permettant de surveiller tous les événements réduit considérablement la charge de travail.
Obtenez une vision plus approfondie des connexions qui ont lieu dans votre organisation, et comprenez quand et où chaque connexion a eu lieu.
Surveillez les utilisateurs connectés à plusieurs ordinateurs pour détecter les risques de sécurité dans votre organisation, car un tiers peut accéder au compte de l'utilisateur pour en prendre le contrôle.
Surveillez et obtenez des rapports sur toutes les activités de connexion sur les contrôleurs de domaine, les serveurs membres et les stations de travail.
Gain deeper insight into logons taking place in your organization, and understand when and where each logon took place.
Monitor users logged into multiple computers to detect security risks in your organization since a third party might be accessing the user account to gain control.
Monitor and obtain reports for all logon activity on DCs, member servers, and workstations.
Avantages de l'utilisation d'ADAudit Plus :