Dans le monde de la technologie, il existe un nombre quasi infini de composantes, de configurations réseau, d’Active Directory, d’utilisateurs ajoutés ou retirés de groupes, de données, de sécurité et bien d’autres choses encore. Essayer de garder un œil sur tout cela peut être un véritable casse-tête, alors voyons comment nous pouvons enregistrer les changements Active Directory avec NinjaOne pour vous donner un peu plus de marge de manœuvre !
Capturer les ID d’événements essentiels et configurer les notifications dans NinjaOne
Active Directory enregistre toutes les changements apportées aux utilisateurs dans le journal des événements et, bien que cela soit utile, les y retrouver peut s’avérer une véritable corvée. Et si nous pouvions en intégrer les entrées importantes dans le journal d’audit de NinjaOne afin qu’elles soient visibles à partir d’une interface familière avec laquelle vous travaillez déjà tous les jours ?
Pour ce faire, nous devons activer un système de journalisation supplémentaire dans Active Directory. Rien de plus qu’une mise à jour rapide de la GPO. Sur votre serveur Active Directory, ouvrez le composant logiciel enfichable de gestion des stratégies de groupe et ouvrez votre stratégie de contrôleur de domaine par défaut. Naviguez ensuite vers Configuration de l’ordinateur>Stratégies>Paramètres Windows>Paramètres de sécurité>Configuration avancée de l’audit>Gestion des comptes, puis activez la stratégie Gestion des groupes de sécurité de l’audit. Vous ne devez activer que l’option “succès” pour cet exemple, mais vous pouvez également activer l’option “échec” si vous souhaitez également enregistrer les changements d’utilisateur qui ont échoué. Cela peut être utile pour le dépannage. Pour que ces changements prennent effet, vous devrez soit redémarrer le contrôleur de domaine, soit exécuter la commande gpupdate.
Désormais, si un utilisateur est ajouté à un groupe de sécurité tel que Domain Admins, le journal des événements créera les ID d’événement 4728 et 4729 si un compte est supprimé d’un groupe de sécurité. Il s’agit là d’une information très précieuse, que vous souhaitez également pouvoir consulter ces données dans NinjaOne, et peut-être envoyer automatiquement des alertes ou créer des tickets pour de tels événements.
Tout d’abord, connectez-vous à NinjaOne et ouvrez Administration>Stratégies>Stratégies d’agent. De là, vous devrez soit modifier une stratégie existante, soit en créer une nouvelle. Nous proposons de créer une nouvelle stratégies pour les serveurs Active Directory. Une fois que vous l’aurez créée, vous devrez ajouter une nouvelle condition pour surveiller cet ID d’événement.
- Dans la section des conditions de l’éditeur de stratégie, cliquez sur “Ajouter une condition”
- Dans l’éditeur de conditions, cliquez d’abord sur “Sélectionner une condition”
- Sélectionnez la condition “Événement Windows” dans le menu déroulant des conditions.
- Saisissez “Microsoft-Windows-Security-Auditing” dans le nom de la source/du fournisseur.
Remarque : Ce champ doit être rempli avec exactitude, sinon la condition ne se déclenchera pas correctement. - Saisissez les ID d’événement souhaités en les entrant un par un et en appuyant sur la touche Entrée. Dans ce cas, comme nous l’avons mentionné plus tôt dans le guide, nous avons utilisé 4729 et 4728 pour surveiller les utilisateurs ajoutés ou supprimés des groupes activés par la sécurité.
Astuce de pro : Vous pouvez ajouter d’autres EventID, tels que 4738, pour surveiller d’autres changements, mais nous vous suggérons de les ajouter à leur(s) propre(s) condition(s) afin d’avoir un contrôle plus précis des paramètres de notification, de ticketing et de sévérité pour les différents types de changements. - Vous pouvez également ajouter des valeurs texte pour plus de précision.
- Cliquez sur “Appliquer” lorsque les paramètres vous conviennent.
- Nommez votre condition et configurez les paramètres de sévérité, de priorité et de notification dans l’éditeur de conditions.
- Vous pouvez définir la sévérité et la priorité pour ajouter des informations supplémentaires sur la criticité de l’alerte dans les notifications.
- Vous pouvez utiliser “Canaux” pour envoyer des notifications sur des canaux de notification spécifiques tels qu’un numéro de téléphone portable ou un canal Slack si vous avez configuré des canaux.
- L’option “Notifier les techniciens” vous permet d’activer les notifications aux techniciens affectés à l’organisation dans laquelle se trouve l’appareil, conformément aux paramètres de notification définis dans leur compte.
- les “règles de création de ticket” vous permettent de créer automatiquement des tickets lorsque cette condition est remplie.
- Une fois tous les paramètres configurés, cliquez sur “Ajouter”.
Désormais, avec notre condition ajoutée, chaque fois qu’un utilisateur est ajouté ou supprimé d’un groupe, cela apparaîtra dans le journal des activités de l’appareil dans NinjaOne, et une alerte sera créée sur la page d’aperçu de l’appareil. Si vous activez les canaux ou les notifications, des alertes externes seront également envoyées !
Vous pouvez vérifier ces alertes en recherchant l’appareil dans la grille de recherche des appareils ou en naviguant vers l’appareil à partir du tableau de bord. Une icône jaune d’avertissement apparaît à côté de l’appareil : en cliquant dessus, la ou les alertes s’affichent. Vous pouvez cliquer sur le lien hypertexte “Plus” pour afficher tous les détails du journal des événements, y compris l’utilisateur qui a été modifié, le groupe auquel il a été ajouté ou dont il a été supprimé, ainsi que le compte à l’origine de la modification.
Par ailleurs, si vous naviguez jusqu’à l’appareil et que vous ouvrez le journal des activités, vous pouvez consulter un journal complet des différents événements survenus sur l’appareil. Vous pouvez filtrer le type par “Conditions” pour ne voir que les activités liées aux conditions. Ces informations peuvent également être exportées pour des audits et autres rapports si nécessaire.
Passez à la vitesse supérieure en matière de surveillance
Vous avez maintenant créé un moyen simple d’être alerté des changements critiques apportés à tous les groupes AD activés pour la sécurité. Comme indiqué ci-dessus, vous pouvez également créer une condition pour 4738 ou d’autres ID d’événement afin de surveiller un certain nombre de changements dans NinjaOne. Vous pouvez aller plus loin en ajoutant des automatisations pour prendre des mesures lorsque des modifications sont apportées.
L’objectif de ces conditions n’est pas de supprimer la nécessité pour les techniciens d’examiner ces types de modifications, mais plutôt d’attirer leur attention sur ces changements et de créer un journal dans NinjaOne pour suivre et surveiller les modifications apportées aux utilisateurs dans AD.
Pour des raisons de sécurité et d’efficacité, il est essentiel de rester au fait des changements critiques apportés à Active Directory. L’intégration de ces journaux dans NinjaOne crée une vue rationalisée et centralisée qui permet de gagner du temps, d’améliorer la visibilité et de soutenir une gestion proactive. Qu’il s’agisse de surveiller les ID d’événements clés ou d’automatiser les réponses aux changements d’utilisateurs, NinjaOne vous fournit les outils nécessaires pour garder une longueur d’avance et assurer la sécurité et l’optimisation de votre environnement informatique.
