Active Directory'deki Kuruluş Birimi ve Gruplarda Yapılan Değişiklikler Nasıl Tespit Edilir

Active Directory'deki Organizasyon Birimlerinde (OU) ve gruplarda kazara veya kötü niyetli değişiklikler yapılması neredeyse kaçınılmaz olarak BT departmanları için sorunlara yol açar. İşte en yaygın örneklerden bazıları:

  • “Kullanıcı Hesaplarını” içeren bir kuruluş birimi silinirse, kullanıcılar oturum açamayacak veya e-posta, messenger, SharePoint vb. BT hizmetlerine erişimde zorluk yaşamayacaktır;
  • “Bilgisayar Hesaplarını” içeren bir kuruluş biriminin silinmesi, IP adresi değişiklikleri nedeniyle grup politikalarının uygulanamamasına yol açabilir;
  • “Yazıcılar” içeren bir kuruluş biriminin silinmesi, kullanıcıların yazıcıları kullanamamasına neden olur ve dolayısıyla Yardım Masası üzerindeki baskıyı artırır.

Bu ve bunun gibi birçok olumsuz sonuçla karşılaşmamak için Active Directory'de yer alan Organizasyon Birimleri ve gruplarda yapılan değişikliklerin düzenli olarak takip edilmesi ve istenmeyen değişikliklere anında müdahale edilmesi gerekmektedir.

Aşağıda değişikliklerin takibini ayarlamanın iki yolunu bulabilirsiniz. Bunlardan birini güvenlik stratejinize dahil etmek, Active Directory Kuruluş Birimleri ve gruplarında yapılan yetkisiz değişikliklerden haberdar olmanızı sağlayacaktır.

Yerel Denetim

1. GPMC.msc'yi çalıştırın (url2open.com/gpmc) > “Varsayılan Etki Alanı Politikası”na sağ tıklayın ve “Düzenle” > Bilgisayar Yapılandırması > Politikalar > Windows Ayarları > Güvenlik Ayarları > Yerel Politikalar > Denetim Politikası'nı seçin:

  • Denetim hesabı yönetimi > Tanımla > Başarılı
  • Dizin hizmeti erişimini denetle > Tanımla > Başarılı.

2. Güvenlik Ayarları düzeyi > Olay Günlüğü'ne dönün:

  • Maksimum güvenlik günlüğü boyutu > 1 GB olarak tanımla
  • Güvenlik günlüğü için saklama yöntemi > Gerektiğinde Olayların Üzerine Yazmayı Tanımla.

3. “gpupdate /force” komutunu çalıştırın.

4. ADSI Düzenleme'yi açın (url2open.com/adsi) > ADSI Düzenleme'ye sağ tıklayın > Varsayılan adlandırma bağlamına bağlanın > Etki alanınızın adını içeren DomainDNS nesnesine sağ tıklayın > Özellikler > Güvenlik (Sekme) > Gelişmiş (Düğme) > Denetim (Sekme) > "Herkes" Sorumlusu Ekle > "Başarılı" yazın > "Bu nesne ve Alt nesneler" için geçerlidir > İzinler > Aşağıdakiler hariç, "Tam Denetim"i tıklatarak tüm onay kutularını seçin: Tam Denetim, İçerikleri Listele, Oku tüm özellikler, Okuma izinleri > “Tamam”a tıklayın.

5. Olay kimliklerini bulmak için Olay görüntüleyiciyi açın ve Güvenlik günlüğünü filtreleyin (Windows Server 2003/2008-2012):

  • 631, 635, 648, 653, 658, 663/4727, 4731, 4754 , 4759, 4744, 4749 - Grup oluşturuldu
  • 632, 636, 650, 655, 660, 665/4728, 4732, 4756 , 4761, 4746, 4751 - Gruba üye eklendi
  • 633, 637, 651, 656, 661, 666/4729, 4733, 4757, 4762, 4747, 4752 - Üye gruptan çıkarıldı
  • 634, 638, 652, 662, 667, 657/4730, 4734, 4758, 4748, 4753, 4763 - Grup silindi
  • 639, 641, 649, 654, 659, 664/4735, 4737, 4745, 4750, 4755, 4760 - Grup değiştirildi
  • 566/4662 - Bir nesne üzerinde işlem gerçekleştirildi (Tür: Dizin Hizmeti Erişimi).

Active Directory için Netwrix Denetçisi

1. Netwrix Auditor'ı çalıştırın > Yönetilen Nesneler > Alanınız > Günlükleri toplamak için "Çalıştır"a tıklayın (günlük toplama, belirtilen programa göre otomatik olarak gerçekleştirilir; burada bir sonraki programlanmış veriyi beklememek için "Çalıştır" düğmesine manuel olarak tıklamanız gerekebilir koleksiyonu) > Günlük toplandıktan sonra alınan bir e-postayı açın.

Bu kılavuzun istenmeyen değişiklikleri tespit etmenize, Active Directory gibi BT ortamının önemli bir bölümünü güvende tutmanıza ve denetim yükünü hafifletmenize yardımcı olacağını umuyoruz.

İlgili makaleler