¿Qué es una revisión de la creación de objetos AD?
Una revision creacion objetos AD whenCreated vincula los objetos de directorio creados recientemente con un aprovisionamiento aprobado. El resultado útil es un registro fechado que indica qué usuarios, equipos y grupos se examinaron, quién es responsable de ellos, qué solicitud justificó su creación y qué pruebas siguen pendientes. El total de objetos recientes es un punto de partida para este trabajo; no demuestra que las creaciones fueran maliciosas o estuvieran aprobadas.
Microsoft describe whenCreated como una marca de tiempo de creación establecida por el sistema, replicada y disponible en el catálogo global. Proporciona una fecha, no la identidad del solicitante ni una justificación de negocio. Mantenga separados estos tipos de pruebas durante toda la revisión. Microsoft Learn: atributo When-Created.
La pregunta práctica es si cada creación observada pertenece a un proceso de aprovisionamiento documentado. Un equipo nuevo puede corresponder a un despliegue previsto, un grupo puede servir a una aplicación aprobada y un usuario puede ser una incorporación legítima. Estas posibilidades requieren registros y un responsable identificable. Los nombres, las descripciones y una OU conocida pueden orientar la investigación, pero no deben sustituir un registro de aprobación.
Funcionamiento: construir un registro de objetos fechado
Empiece registrando el dominio, la base de búsqueda, el controlador de dominio consultado, la hora de recopilación y el intervalo de revisión. Conserve la configuración de recopilación y los errores junto con las filas de objetos. Así podrá distinguir una observación del directorio de una suposición sobre lo que abarcó la recopilación.
Mantenga una fila de revisión por identificador estable de objeto, con el nombre distinguido actual como localizador legible. Conserve por separado la pertenencia a las poblaciones: un objeto devuelto tanto en la población de usuarios como en la de equipos debe conservar ambas etiquetas y contribuir una sola vez al registro de objetos únicos. Esto importa para las cuentas de servicio administradas de grupo, que los filtros LDAP del recopilador pueden incluir en ambas poblaciones.
| Campo del registro | Qué registra el revisor | Decisión que respalda |
|---|---|---|
| Identidad del objeto | GUID, DN, clase y SID disponible del objeto | Asociar las pruebas al mismo objeto y deduplicar observaciones |
| Hora de creación | whenCreated normalizado a UTC; ausencia de fecha registrada explícitamente | Situar el objeto en el intervalo de revisión elegido |
| Procedencia de la recopilación | Dominio, DC, base de búsqueda, hora y resultado de la consulta | Explicar el alcance de la observación |
| Pertenencia a poblaciones | Usuario, equipo, grupo o poblaciones superpuestas | Conciliar los totales por población con los objetos únicos |
| Pruebas de aprovisionamiento | Referencia de la solicitud, finalidad solicitada y pruebas de aprobación | Establecer el motivo documentado de la creación |
| Responsable identificado | Responsable de servicio o negocio designado y respuesta a la revisión | Asignar seguimiento en lugar de dejar filas sin explicación |
| Pruebas de eventos | Evento de creación coincidente o limitación de cobertura documentada | Conservar lo conocido sobre el solicitante |
| Resolución | Aprobado, requiere investigación o sin resolver | Mantener visible la incertidumbre hasta el cierre |
Utilice colecciones distintas para los objetos dentro del intervalo, los que están fuera, los que tienen una fecha no disponible y las poblaciones o ubicaciones que no se pudieron leer. Una consulta fallida es una observación fallida. No puede producir un resultado vacío fiable. Del mismo modo, un objeto excluido por un filtro de fecha no se ha clasificado como aprobado.
La revisión semanal de creaciones recientes del flujo de auditoría AD recurrente proporciona la cadencia operativa. Este registro aporta las pruebas de objetos y aprovisionamiento para esa revisión. Conserve explícitamente el intervalo de revisión en lugar de tratar la ventana retrospectiva de diez días de un producto como una política de la organización.
Detección: leer whenCreated con un alcance explícito
Utilice un host con el módulo PowerShell de Active Directory y una cuenta autorizada para leer el directorio. Los ejemplos siguientes son consultas de revisión basadas en la documentación, no comandos ejecutados en el directorio de un cliente. Sustituya el dominio y el DC de ejemplo antes de usarlos.
Get-ADObject documenta -Filter, las -Properties adicionales, -SearchBase, -SearchScope y -Server. Los ejemplos establecen -SearchScope Subtree para incluir la base de búsqueda y sus descendientes. Los filtros siguientes combinan estos parámetros con las tres definiciones de población del recopilador y un límite inferior de whenCreated. Microsoft Learn: Get-ADObject.
$reviewEnd = [DateTime]::UtcNow
$reviewStart = $reviewEnd.AddDays(-10)
$base = 'DC=contoso,DC=local'
$dc = 'dc01.contoso.local'
$properties = 'whenCreated','objectGUID','objectSid','objectClass'
$users = Get-ADObject -Filter {objectClass -eq 'user' -and (objectCategory -eq 'person' -or objectClass -eq 'msDS-GroupManagedServiceAccount') -and whenCreated -gt $reviewStart} -Properties $properties -SearchBase $base -SearchScope Subtree -Server $dc -ErrorAction Stop
$computers = Get-ADObject -Filter {objectClass -eq 'computer' -and whenCreated -gt $reviewStart} -Properties $properties -SearchBase $base -SearchScope Subtree -Server $dc -ErrorAction Stop
$groups = Get-ADObject -Filter {objectClass -eq 'group' -and whenCreated -gt $reviewStart} -Properties $properties -SearchBase $base -SearchScope Subtree -Server $dc -ErrorAction Stop
Las consultas con límite inferior omiten las fechas anteriores y no disponibles. Para una observación independiente del alcance, lea sin un predicado de fecha:
$scopeObjects = Get-ADObject -Filter * -Properties $properties -SearchBase $base -SearchScope Subtree -Server $dc -ErrorAction Stop
Esa lectura más amplia no equivale a las tres consultas por población. Clasifique sus objetos antes de compararlos. Por defecto, el cmdlet excluye los objetos eliminados; ninguna de las lecturas reconstruye un historial completo del directorio.
Paso 1: conservar la observación
Guarde las definiciones de las consultas y sus resultados, exitosos o fallidos, antes de interpretar las filas. Si una consulta se detiene con un error, registre el error y el alcance afectado e investigue el fallo de recopilación. No lo sustituya por una matriz vacía para continuar como si la población se hubiera revisado.
Para las fechas devueltas, conserve el valor original y normalice la visualización del registro a UTC. Evalúe el límite inferior de manera coherente: el recopilador utiliza una comparación estricta posterior a su hora de referencia menos diez días. Una marca de tiempo situada exactamente en ese límite queda excluida. Su código no establece un límite superior en la hora de referencia; por ello, marque por separado cualquier fecha devuelta posterior al final de revisión registrado en lugar de incorporarla silenciosamente al intervalo normal.
Paso 2: conciliar los objetos únicos
Combine las observaciones por GUID de objeto, conserve todas las etiquetas de población y compare el registro resultante con los recuentos por población del recopilador. Explique las diferencias mediante el alcance, los límites, el tratamiento de las fechas y las clases superpuestas antes de considerarlas creaciones sin explicación. Un recuento deduplicado puede diferir legítimamente de la suma de observaciones de usuarios, equipos y grupos.
Mantenga las cuentas deshabilitadas en la revisión. Ese estado no responde por qué se creó un objeto ni si su solicitud de aprovisionamiento estaba aprobada. El propio detector de objetos recientes no excluye usuarios o equipos deshabilitados.
Paso 3: vincular cada fila con el aprovisionamiento
Pida al responsable identificado que aporte la solicitud y las pruebas de aprobación del objeto concreto. Haga coincidir los identificadores, la clase prevista, la ubicación y la finalidad, en lugar de aceptar un ticket genérico de despliegue que podría referirse a varios objetos sin relación. Registre cualquier discrepancia entre la solicitud y el objeto observado como una tarea de seguimiento.
Una respuesta del responsable sin pruebas de respaldo sigue siendo una declaración que evaluar. A la inversa, una respuesta ausente implica una procedencia sin resolver, no una prueba de actividad de un atacante. Distinga estos resultados para que la remediación aborde la carencia real de pruebas.
Detección: correlacionar el evento 5137 solo con cobertura demostrada
El evento 5137 registra la creación de objetos de directorio en un controlador de dominio con la auditoría de éxitos habilitada en Audit Directory Service Changes. Microsoft especifica que la SACL del objeto padre debe auditar la acción Create pertinente para la clase de objeto. Ambos controles deben haberse aplicado antes de la creación; los registros locales o centrales conservados deben cubrir ese momento. Microsoft Learn: evento 5137.
Asocie ObjectGUID, respaldado por ObjectDN y ObjectClass, con el registro. Conserve la hora UTC del evento, el DC emisor y el identificador del registro. SubjectUserSid, SubjectUserName y SubjectDomainName identifican la cuenta solicitante. SubjectLogonId puede respaldar la correlación de sesiones; no identifica a la persona detrás de la automatización ni demuestra aprobación.
| Prueba | Uso en la revisión | Límite |
|---|---|---|
| Evento 5137 coincidente | Identificar al solicitante de este objeto | La identidad del solicitante no equivale a autorización |
| Política histórica y SACL del padre | Establecer la cobertura de generación de eventos | La configuración actual no demuestra la cobertura pasada |
| Registros y archivos legibles | Establecer el período consultable | La ausencia de registros deja la procedencia sin resolver |
La guía de configuración de la política de auditoría explica por qué primero deben generarse los eventos. Para 5137, añada pruebas de la SACL Create del padre y de la retención; el contador de creaciones no demuestra ninguno de estos elementos.
Resolver las creaciones no aprobadas y las carencias de pruebas (Remediation)
La remediación empieza por la resolución de cada objeto, no por reducir un recuento de creaciones recientes. El aprovisionamiento aprobado debe seguir documentado aunque el objeto permanezca dentro de la ventana retrospectiva. Una creación sin resolver necesita un responsable y una vía de investigación.
- Completar el registro de aprovisionamiento. Adjunte el identificador del objeto, la solicitud, la aprobación y la respuesta del responsable a la fila de revisión. Confirme que la finalidad y la ubicación observadas concuerdan con la solicitud aprobada. Registre cualquier excepción justificada y la persona responsable de resolverla.
- Escalar las creaciones sin explicación o incoherentes. Conserve las observaciones del directorio y los registros de eventos disponibles. Pida a los responsables de identidades y servicios que evalúen el uso previsto del objeto y su exposición actual. Canalice los objetos confirmados como no autorizados por los procesos de incidentes y cambios de la organización, con una decisión explícita de contención.
- Corregir las carencias de recopilación. Revise las bases de búsqueda, los límites configurados de población y los fallos de consulta. Repita las lecturas del alcance después de resolver la causa y conserve la nueva hora de observación. Mantenga en el registro las observaciones fallidas anteriores para que el registro final no sugiera una cobertura ininterrumpida.
- Corregir la cobertura futura de eventos. Haga que administradores autorizados verifiquen la auditoría efectiva de éxitos de Directory Service Changes y las SACL Create pertinentes de los padres. Compruebe que los archivos conservados realmente se puedan consultar. Valide la generación y recopilación futuras mediante una creación de prueba aprobada y conserve las pruebas resultantes.
- Verificar el cierre con el registro. Concilie el registro actualizado de objetos únicos con el aprovisionamiento aprobado y las excepciones documentadas. Cierre solo las decisiones respaldadas por pruebas; mantenga abiertas la procedencia desconocida y el alcance incompleto.
Evite eliminar o deshabilitar automáticamente basándose solo en la antigüedad, un nombre desconocido o la ausencia de un evento de creación. Estas señales justifican investigar, mientras que la decisión de remediación requiere pruebas sobre el objeto y sus dependencias. Los ejemplos de este artículo leen el directorio; no autorizan cambios en él.
Cómo detecta EtcSec esta señal
En el commit del recopilador 9f698083354a1cb7f625df5cb490a515823c3257, RECENT_OBJECTS_CREATED es un hallazgo Info. Su método Detect() suma las entradas de usuarios, equipos y grupos cuyo valor Created no es cero y es estrictamente posterior a DetectorData.Now - 10 × 24 hours. Diez días es una heurística del producto. La comparación no tiene un límite superior en Now y el detector no excluye cuentas deshabilitadas.
El hallazgo proporciona un total y los contadores agregados newUsers, newComputers y newGroups. No aporta una lista AffectedEntities por objeto ni determina solicitante, intención o autorización. Los analizadores LDAP obtienen Created de whenCreated; los valores ausentes o los formatos que parseADTime no entiende se convierten en cero y quedan excluidos del cálculo.
La recopilación depende de BaseDN, MaxUsers, MaxGroups y MaxComputers. Un error al recuperar cualquiera de las tres poblaciones detiene la recopilación. Las poblaciones pueden superponerse: el filtro de usuarios incluye gMSA y el de equipos puede devolver los mismos objetos. Por tanto, la suma no es un inventario único de todos los objetos AD.
Utilice este hallazgo para iniciar el registro independiente y la revisión de aprovisionamiento descritos arriba. Un recuento inferior en una auditoría posterior puede reflejar simplemente que los objetos han envejecido más allá de la ventana retrospectiva, un cambio de alcance o una diferencia de recopilación. Verifique directamente las decisiones de revisión y las pruebas antes de cerrar el trabajo.
Explore las páginas de identidad que apoyan este tema