Implementación Auditoria Windows Server 2008 R2

www.ragazome.info
Libertad de Conocimiento / Libertad de Aprendizaje
LABORATORIO MICROSOFT
IMPLEMENTACIÓN AUDITORIA
WINDOWS SERVER 2008 R2
Después de completar este laboratorio, tendrá una infraestructura de auditoría de seguridad
avanzada o por lo menos la base configurada para ello. Luego podrá probar y obtener más
información acerca de otras opciones de configuración de directiva de auditoría de seguridad
avanzada.
Este laboratorio se puede realizar en equipos físicos o virtual machines, los equipos forman una red
privada y se conectan a través de un concentrador común o un conmutador de nivel 2. En el
laboratorio usamos direcciones privadas para la configuración del mismo. Se usa el identificador de
red privada 10.0.0.0/24 para la intranet. El controlador de dominio para el dominio llamado
contoso.com se llama CONTOSO-DC. La ilustración siguiente muestra la configuración del entorno
de prueba.

www.ragazome.info
Paso 1: Configurar la infraestructura
Para preparar el entorno de prueba en el dominio de CONTOSO o como lo desees nombrar, debe
completar las tareas siguientes:
 Implemente el controlador de dominio (CONTOSO-DC).
 Implemente el servidor miembro (CONTOSO-SRV).
 Implemente el equipo cliente (CONTOSO-CLNT).
Use la siguiente tabla como referencia para configurar los nombres de equipo, sistemas operativos
y parámetros de red adecuados que son necesarios para completar los pasos correspondientes.
Nombre de
equipo
Requisitos del sistema
operativo
Configuración IP Configuración DNS
CONTOSO-DC
Windows Server 2008 R2,
Windows Server 2008 o
Windows Server 2003 con
Service Pack 2 (SP2)
Dirección IP: 10.0.0.1
Máscara de subred:
255.255.255.0
Configurado por el
rol de servidor DNS
CONTOSO-SRV Windows Server 2008 R2
Máscara de subred:
255.255.255.0
Preferido: 10.0.0.1
CONTOSO-CLNT
Windows 7 o Windows
Server 2008 R2
Máscara de subred:
255.255.255.0
Preferido: 10.0.0.1

www.ragazome.info
Configurar el controlador de dominio (CONTOSO-DC)
En función del entorno, puede evaluar la configuración de directiva de auditoría avanzada en un
dominio de Windows Server 2008, Windows Server 2008 R2 o Windows Server 2012. Para este
laboratorio, se usa un dominio de Windows Server 2008 R2.
Para configurar el controlador de dominio CONTOSO-DC que ejecuta Windows Server 2008 R2, debe
realizar lo siguiente:
 Instalar Windows Server 2008 R2 (actualizado desde Windows update).
 Configurar las propiedades TCP/IP (IP estática).
 Instalar AD DS (Rol Active Directory Domain Services).
 Crear una unidad organizativa (OU) de finanzas (o la(s) que deseen).
En primer lugar, instale Windows Server 2008 R2 en un servidor independiente.
Para instalar Windows Server 2008 R2
1. Inicie el equipo con el CD del producto de Windows Server 2008 R2 o descargue una
versión evaluativa de este SO.
2. Cuando se le pida un nombre de equipo, escriba CONTOSO-DC.
3. Siga el resto de instrucciones que aparecen en la pantalla para finalizar la instalación.
A continuación, configure las propiedades TCP/IP para que CONTOSO-DC tenga la dirección IP
estática IPv4 10.0.0.1.
Para configurar las propiedades TCP/IP
1. Inicie sesión en CONTOSO-DC con la cuenta CONTOSO-DCAdministrador o Administrator
si el SO se encuentra en idioma inglés.
2. Haga clic en Inicio, en Panel de control, en Redes e Internet, en Centro de redes y
recursos compartidos, en Cambiar configuración del adaptador, haga clic con el botón
secundario en Conexión de área local y, a continuación, haga clic en Propiedades.
3. En la pestaña Funciones de red, haga clic en Protocolo de Internet versión 4 (TCP/IPv4) y,
luego, haga clic en Propiedades.
4. Haga clic en Usar la siguiente dirección IP. En el cuadro Dirección IP, escriba 10.0.0.1. En
el cuadro Máscara de subred, escriba 255.255.255.0. En el cuadro Puerta de enlace
predeterminada, escriba 10.0.0.1.
5. En el cuadro Servidor DNS preferido, escriba 10.0.0.1 y, a continuación, haga clic en
Aceptar.

www.ragazome.info
6. En la pestaña Funciones de red, desactive la casilla Protocolo de Internet versión 6
(TCP/IPv6) y haga clic en Cerrar.
A continuación, configure el equipo como un controlador de dominio que ejecuta Windows
Server 2008 R2.
Para configurar CONTOSO-DC como un controlador de dominio que ejecuta Windows
Server 2008 R2
1. Haga clic en Inicio y, a continuación, en Ejecutar. En el cuadro Abrir, escriba dcpromo y, a
continuación, haga clic en Aceptar.
2. En la página Asistente para la instalación de los Servicios de dominio de Active Directory,
haga clic en Siguiente y, a continuación, haga clic en Siguiente de nuevo.
3. Haga clic en Crear un dominio nuevo en un bosque nuevo y luego haga clic en Siguiente.
4. En el cuadro FQDN del dominio raíz del bosque, escriba contoso.com y luego haga clic en
Siguiente.
5. Deje el valor predeterminado en el cuadro Nombre NetBIOS del dominio y, a
continuación, haga clic en Siguiente.
6. En la lista Nivel funcional del bosque, haga clic en Windows Server 2003 y luego haga clic
en Siguiente.
7. En la lista Nivel funcional del dominio, haga clic en Windows Server 2003 y luego haga clic
en Siguiente.
8. Asegúrese de que la casilla Servidor DNS esté activada y haga clic en Siguiente.
9. Haga clic en Sí para confirmar que desea crear una delegación para este servidor DNS.
10. En la página Ubicación de la base de datos, los archivos de registro y SYSVOL, haga clic en
Siguiente.
11. En los cuadros Contraseña y Confirmar contraseña, escriba una contraseña segura y, a
continuación, haga clic en Siguiente.
12. En la página Resumen, haga clic en Siguiente para iniciar la instalación.
13. Cuando se complete la instalación, haga clic en Finalizar y, a continuación, haga clic en
Reiniciar ahora.
14. Debe reiniciar el equipo tras completar este procedimiento.

www.ragazome.info
Para crear una OU de finanzas en contoso.com
1. Inicie sesión en CONTOSO-DC con la cuenta CONTOSO-DCAdministrador.
2. Haga clic en Inicio, haga clic en Panel de control, haga doble clic en Herramientas
administrativas y, a continuación, haga doble clic en Usuarios y equipos de Active
Directory.
3. En el árbol de consola, haga clic con el botón secundario en contoso.com, seleccione
Nuevo y, a continuación, haga clic en Unidad organizativa.
4. Escriba el nombre de la nueva unidad organizativa, Finanzas y haga clic en Aceptar.

www.ragazome.info
Configurar el servidor miembro de Windows Server 2008 R2 (CONTOSO-SRV)
Para configurar el servidor miembro, CONTOSO-SRV, debe realizar lo siguiente:
 Instalar Windows Server 2008 R2.
 Configurar las propiedades TCP/IP.
 Unir CONTOSO-SRV al dominio contoso.com.
 Agregar CONTOSO-SRV a la unidad organizativa Finanzas.
 Instalar GPMC.
Primero, instale Windows Server 2008 R2 como servidor independiente.
Para instalar Windows Server 2008 R2
1. Inicie el equipo con el CD del producto de Windows Server 2008 R2 o descargue una
versión evaluativa de este SO.
2. Cuando se le pida un nombre de equipo, escriba CONTOSO-SRV.
3. Siga el resto de instrucciones que aparecen en la pantalla para finalizar la instalación.
A continuación, configure las propiedades TCP/IP para que CONTOSO-SRV tenga la dirección IP
estática 10.0.0.2. Además, configure el servidor DNS con la dirección IP de CONTOSO-DC (10.0.0.1).
1. Inicie sesión en CONTOSO-SRV con la cuenta CONTOSO-SRVAdministrador o con otra
cuenta de usuario en el grupo Administradores local.
2. Haga clic en Inicio, haga clic en Panel de control, haga doble clic en Centro de redes y
recursos compartidos, haga clic en Administrar conexiones de red, haga clic con el botón
secundario en Conexión de área local y, a continuación, haga clic en Propiedades.
4. Haga clic en Usar la siguiente dirección IP. En el cuadro Dirección IP, escriba 10.0.0.2. En
el cuadro Máscara de subred, escriba 255.255.255.0. En el cuadro Puerta de enlace
predeterminada, escriba 10.0.0.1.
5. Haga clic en Usar las siguientes direcciones de servidor DNS. En Servidor DNS preferido,
escriba 10.0.0.1.
6. Haga clic en Aceptar y, a continuación, en Cerrar para cerrar el cuadro de diálogo
Propiedades de conexión de área local.

www.ragazome.info
A continuación, una CONTOSO-SRV al dominio contoso.com.
Para unir CONTOSO-SRV al dominio contoso.com
1. Haga clic en Inicio, haga clic con el botón secundario en Equipo y, después, haga clic en
Propiedades.
2. Haga clic en Cambiar la configuración (a la derecha, bajo Configuración de nombre,
dominio y grupo de trabajo del equipo) y, a continuación, haga clic en Cambiar.
3. En el cuadro de diálogo Cambios en el dominio o el nombre del equipo, haga clic en
Dominio y, a continuación, escriba contoso.com.
4. Haga clic en Más y, en el cuadro Sufijo DNS principal de este equipo, escriba
contoso.com.
5. Haga clic en Aceptar y, a continuación, vuelva a hacer clic en Aceptar.
6. Cuando aparezca un cuadro de diálogo Cambios en el dominio o el nombre del equipo
que le pide las credenciales administrativas, proporcione las credenciales de
CONTOSOAdministrador y, a continuación, haga clic en Aceptar.
que le da la bienvenida al dominio contoso.com, haga clic en Aceptar.
que le informa de que es necesario reiniciar el equipo, haga clic en Aceptar y, luego, en
Cerrar.
9. Haga clic en Reiniciar ahora.
Después de reiniciar el equipo, agregue CONTOSO-SRV a la unidad organizativa Finanzas.
Para agregar un equipo a la unidad organizativa Finanzas
1. Inicie sesión en CONTOSO-DC con la cuenta CONTOSO-DCAdministrador.
2. Haga clic en Inicio, haga clic en Panel de control, haga doble clic en Herramientas
administrativas y, a continuación, haga doble clic en Usuarios y equipos de Active
Directory.
3. En el árbol de consola, haga clic con el botón secundario en contoso.com.
4. En el árbol de consola, haga clic con el botón secundario en la unidad organizativa
Finanzas, seleccione Nuevo y, a continuación, haga clic en Grupo.
5. Escriba el nombre del grupo nuevo, Equipos, y luego, en Ámbito de grupo, haga clic en
Dominio local y, en Tipo de grupo, haga clic en Grupo de seguridad.
6. Haga clic con el botón secundario en Equipos y, a continuación, haga clic en Propiedades.
En la pestaña Miembros, haga clic en Agregar.
7. En Escriba los nombres de objeto que desea seleccionar, escriba CONTOSO-SRV y,
después, haga clic en Aceptar.
Por último, instale GPMC en CONTOSO-SRV mediante el Administrador del servidor. Se usará para
establecer la configuración de directiva de auditoría de seguridad avanzada.

www.ragazome.info
Para instalar GPMC
1. Inicie sesión en CONTOSO-SRV como miembro del grupo Administradores local.
2. Haga clic en Inicio, seleccione Herramientas administrativas y, a continuación, haga clic
en Administrador del servidor.
3. En Resumen de características, haga clic en Agregar características.
4. Active la casilla Administración de directivas de grupo y, a continuación, haga clic en
Instalar.
5. Cierre el Administrador del servidor.
Configurar el equipo cliente (CONTOSO-CLNT)
Para configurar CONTOSO-CLNT, debe realizar lo siguiente:
 Instalar Windows 7.
 Configurar las propiedades TCP/IP.
 Unir CONTOSO-CLNT al dominio contoso.com.
Para instalar Windows 7
1. Inicie el equipo con el CD del producto de Windows 7.
2. Siga las instrucciones que aparecen en pantalla y, cuando se le pida un nombre de equipo,
escriba CONTOSO-CLNT.
A continuación, configure las propiedades TCP/IP para que CONTOSO-CLNT tenga la dirección IP
estática 10.0.0.3. Configure también el servidor DNS de CONTOSO-DC (10.0.0.1).
1. Inicie sesión en CONTOSO-CLNT con la cuenta CONTOSO-CLNTAdministrador o con otra
cuenta de usuario en el grupo Administradores local.
2. Haga clic en Inicio, en Panel de control, en Redes e Internet y, por último, en Centro de
redes y recursos compartidos.
3. Haga clic en Cambiar configuración del adaptador, haga clic con el botón secundario en
Conexión de área local y luego haga clic en Propiedades.
4. Si aparece el cuadro de diálogo Control de cuentas de usuario, confirme que la acción que
muestra es la que desea y, a continuación, haga clic en Sí.
6. Haga clic en Usar la siguiente dirección IP. En Dirección IP, escriba 10.0.0.3. En Máscara
de subred, escriba 255.255.255.0.

www.ragazome.info
7. Haga clic en Usar las siguientes direcciones de servidor DNS. En Servidor DNS preferido,
escriba 10.0.0.1.
8. Haga clic en Aceptar y, a continuación, en Cerrar para cerrar el cuadro de diálogo
Propiedades de conexión de área local.
A continuación, una CONTOSO-CLNT al dominio contoso.com.
Para unir CONTOSO-CLNT al dominio contoso.com
1. Haga clic en Inicio, haga clic con el botón secundario en Equipo y, después, haga clic en
Propiedades.
2. En Configuración de nombre, dominio y grupo de trabajo del equipo, haga clic en
Cambiar la configuración.
4. En la pestaña Nombre de equipo, haga clic en Cambiar.
5. En el cuadro de diálogo Cambios en el dominio o el nombre del equipo, haga clic en
Dominio y, a continuación, escriba contoso.com.
6. Haga clic en Más y, en el cuadro Sufijo DNS principal de este equipo, escriba
contoso.com.
7. Haga clic en Aceptar y, a continuación, vuelva a hacer clic en Aceptar.
que le pide credenciales administrativas, proporcione las credenciales y, a continuación,
haga clic en Aceptar.
que le da la bienvenida al dominio contoso.com, haga clic en Aceptar.
que le informa de que es necesario reiniciar el equipo, haga clic en Aceptar y, luego, en
Cerrar.
11. En el cuadro de diálogo Cambio de configuración del sistema, haga clic en Sí para reiniciar
el equipo.

www.ragazome.info
Paso 2: Crear y comprobar una directiva de auditoría avanzada
Las nueve directivas de auditoría básicas que se encuentran en Configuración del
equipoDirectivasConfiguración de WindowsConfiguración de seguridadDirectivas
localesDirectiva de auditoría permiten establecer la configuración de directivas de auditoría de
seguridad para conjuntos amplios de comportamientos, algunos de los cuales generan muchos más
eventos de auditoría que otros. Un administrador debe revisar todos los eventos que se generen,
independientemente de su grado de interés.
En Windows Server 2008 R2 y Windows 7, los administradores pueden auditar aspectos más
específicos del comportamiento del cliente en el equipo o la red, de manera que resulta más sencillo
identificar los comportamientos que tienen un mayor interés. Por ejemplo, en Configuración del
equipoDirectivasConfiguración de WindowsConfiguración de seguridadDirectivas
localesDirectiva de auditoría, hay una sola configuración de directiva para eventos de inicio de
sesión, Auditar eventos de inicio de sesión. Sin embargo, en Configuración del
equipoDirectivasConfiguración de WindowsConfiguración de seguridadConfiguración de
directiva de auditoría avanzadaDirectivas de auditoría del sistema, puede elegir entre ocho
configuraciones de directiva distintas en la categoría Inicio y cierre de sesión. De esta manera,
puede controlar mejor cuáles son los aspectos de inicio y cierre de sesión que puede incluir en el
seguimiento
Cuando se crea un dominio nuevo, se genera automáticamente una directiva de dominio
predeterminada. En esta sección se editará la directiva de dominio predeterminada y se agregará
una configuración de directiva de auditoría de seguridad avanzada que audite los inicios de sesión
correctos o incorrectos de un usuario en un equipo del dominio CONTOSO.
Para configurar, aplicar y validar una configuración de directiva de auditoría de inicio de sesión de
dominio avanzada, debe realizar lo siguiente:
 Establezca una configuración de directiva de inicio de sesión de dominio avanzada.
 Asegúrese de que no se sobrescribe la Configuración de directiva de auditoría avanzada.
 Actualice la configuración de directiva de grupo.
 Compruebe que la configuración de directiva de auditoría de seguridad de inicio de sesión
avanzada se aplicó correctamente.

www.ragazome.info
Para establecer una configuración de directiva de auditoría de inicio de sesión de dominio
avanzada
en Administración de directivas de grupo.
3. En el árbol de consola, haga doble clic en Bosque: contoso.com, haga doble clic en
Dominios y, a continuación, haga doble clic en contoso.com.
4. Haga clic con el botón secundario en Directiva predeterminada de dominio y, a
continuación, haga clic en Editar.
5. Haga doble clic en Configuración del equipo, haga doble clic en Directivas y, a
continuación, haga doble clic en Configuración de Windows.
6. Haga doble clic en Configuración de seguridad, haga doble clic en Configuración de
directiva de auditoría avanzada y, a continuación, haga doble clic en Directivas de
auditoría del sistema.
7. Haga doble clic en Inicio y cierre de sesión y, a continuación, haga doble clic en Inicio de
sesión.
8. Active la casilla Configurar los siguientes eventos de auditoría, active la casilla Aciertos,
active la casilla Errores y, a continuación, haga clic en Aceptar.
Si usa la Configuración de directiva de auditoría avanzada, deberá confirmar que la configuración de
directiva de auditoría básica no la sobrescribe. En el procedimiento siguiente se muestra cómo evitar
conflictos bloqueando la aplicación de cualquier configuración de directiva de auditoría básica.
Para asegurarse de que no se sobrescribe la Configuración de directiva de auditoría avanzada
1. En CONTOSO-SRV, haga clic en Inicio, seleccione Herramientas administrativas y, a
continuación, haga clic en Administración de directivas de grupo.
5. Haga doble clic en Configuración de seguridad y, a continuación, haga clic en Opciones de
seguridad.
6. Haga doble clic en Auditoría: forzar la configuración de subcategorías de la directiva de
auditoría (Windows Vista o posterior) para invalidar la configuración de la categoría de
directiva de auditoría y, a continuación, haga clic en Definir esta configuración de
directiva.
7. Haga clic en Habilitada y, a continuación, haga clic en Aceptar.

www.ragazome.info
Antes de poder comprobar la funcionalidad de la configuración de directiva de auditoría de
seguridad avanzada en el dominio contoso.com, debe iniciar sesión en CONTOSO-CLNT como
administrador del dominio contoso.com y asegurarse de que se ha aplicado la configuración de
directiva de grupo.
Para actualizar la configuración de directiva de grupo
1. Inicie sesión en CONTOSO-CLNT como CONTOSOAdministrador.
2. Haga clic en Inicio, seleccione Todos los programas, haga clic en Accesorios, haga clic con
el botón secundario en Símbolo del sistema y, a continuación, haga clic en Ejecutar como
administrador.
4. Escriba gpupdate y presione ENTRAR.
Una vez aplicada la configuración de directiva de grupo, puede comprobar si la configuración de
directiva de auditoría se ha aplicado correctamente.
Para comprobar que la configuración de directiva de auditoría de seguridad de inicio de sesión
avanzada se aplicó correctamente
1. Inicie sesión en CONTOSO-CLNT como CONTOSOAdministrador.
2. Haga clic en Inicio, seleccione Todos los programas, haga clic en Accesorios, haga clic con
el botón secundario en Símbolo del sistema y, a continuación, haga clic en Ejecutar como
administrador.
4. Escriba auditpol.exe /get /category:* y presione ENTRAR.
5. Compruebe que aparece Aciertos, Errores o Aciertos y errores a la derecha de Inicio de
sesión.

www.ragazome.info
Paso 3: Crear y comprobar una directiva de auditoría que proporcione la razón de acceso a
objetos
Una de las necesidades de auditoría más habituales es el seguimiento del acceso a un determinado
archivo o carpeta. Por ejemplo, quizás necesite identificar una actividad como cuando un usuario
escribe en un archivo al que no debería haber tenido acceso. Al habilitar la auditoría de "razón de
acceso", no solo podrá realizar un seguimiento de este tipo de actividad, sino que además podrá
identificar la entrada de control de acceso exacta que permitió el acceso no deseado, lo que puede
simplificar enormemente la tarea de modificar la configuración de control de acceso para evitar
futuros episodios similares de acceso no deseado a objetos.
Para configurar, aplicar y validar una directiva de razón de acceso a objetos, debe realizar lo
siguiente:
 Configure la directiva de auditoría del sistema de archivos.
 Habilite la auditoría en un archivo o una carpeta.
 Habilite la directiva de auditoría de manipulación de identificadores.
 Revise y compruebe los datos de auditoría de razón de acceso.
Para configurar la directiva de auditoría del sistema de archivos
7. Haga doble clic en Acceso a objetos y, a continuación, haga doble clic en Sistema de
archivos.
8. Active la casilla Configurar los siguientes eventos de auditoría y, a continuación, active la
casilla Aciertos, active la casilla Errores o active ambas casillas Aciertos y Errores.

www.ragazome.info
9. Haga clic en Aceptar.
La directiva de auditoría del sistema de archivos solo se usa para supervisar objetos en los que se
hayan configurado SACL de auditoría. En el procedimiento siguiente se muestra cómo configurar la
auditoría en un archivo o una carpeta.
Para habilitar la auditoría en un archivo o una carpeta
1. Inicie sesión en CONTOSO-CLNT como miembro del grupo Administradores local.
2. Cree una nueva carpeta o un documento .txt.
3. Haga clic con el botón secundario en el nuevo objeto, haga clic en Propiedades y, a
continuación, haga clic en la pestaña Seguridad.
4. Haga clic en Opciones avanzadas y, a continuación, haga clic en la pestaña Auditoría.
6. Haga clic en Agregar, escriba un nombre de usuario o nombre de equipo con el formato
contosousuario1 y, a continuación, haga clic en Aceptar.
7. En el cuadro de diálogo Entradas de auditoría, seleccione los permisos que desee auditar,
como Control total o Eliminar.
8. Haga clic en Aceptar cuatro veces para completar la configuración de la SACL del objeto.
En Windows 7 y Windows Server 2008 R2, la razón por la que se concede o deniega el acceso a un
usuario se agrega al evento de identificador abierto. De esta manera, el administrador puede
entender el motivo por el que un usuario pudo abrir un archivo, una carpeta o un recurso
compartido para un acceso específico. Para habilitar esta funcionalidad, también es necesario
habilitar la directiva de auditoría de manipulación de identificadores para que los eventos de
aciertos registren los intentos de acceso que se permitieron y los eventos de errores registren los
intentos de acceso que se denegaron.
Para habilitar la directiva de auditoría de manipulación de identificadores
4. Haga doble clic en la unidad organizativa Finanzas, haga clic con el botón secundario en
Directiva de auditoría Finanzas y haga clic en Editar.

www.ragazome.info
7. Haga doble clic en Acceso a objetos, haga clic con el botón secundario en Manipulación
de identificadores y haga clic en Propiedades.
8. Active la casilla Configurar los siguientes eventos de auditoría, active las casillas Aciertos
y Errores y, a continuación, haga clic en Aceptar.
Después de crear esta directiva de auditoría, confirme que no se puede sobrescribir esta
configuración de directiva de auditoría avanzada. Para obtener más información, vea el
procedimiento "Para asegurarse de que no se sobrescribe la Configuración de directiva de auditoría
avanzada" en la sección Paso 2: Crear y comprobar una directiva de auditoría avanzada.
A continuación, aplique las actualizaciones de directiva de grupo siguiendo el procedimiento "Para
actualizar la configuración de directiva de grupo" de la sección Paso 2: Crear y comprobar una
directiva de auditoría avanzada.
Después de aplicar la configuración de directiva de grupo actualizada, asegúrese de iniciar y cerrar
sesión en CONTOSO-CLNT y complete algunas tareas que generen eventos de razón de acceso a
objetos. Cuando haya completado estos pasos, puede revisar los datos de auditoría que
proporcionan la razón de acceso.
Para revisar los datos de auditoría de razón de acceso
1. En CONTOSO-CLNT, haga clic en Inicio, seleccione Herramientas administrativas y, a
continuación, haga clic en Visor de eventos.
2. Haga clic en Registros de Windows y, a continuación, en Seguridad.
3. En el panel Acciones, haga clic en Vaciar registro.
4. Busque el archivo o la carpeta que configuró en el procedimiento de acceso a objetos de
dominio y modifique el archivo o la carpeta con los permisos que configuró para la cuenta
de usuario.
5. Vuelva al Visor de eventos y, en el panel Acciones, haga clic en Actualizar.
6. En la columna Id. de evento, haga clic en el evento o los eventos 4656, desplácese a la
sección Información de solicitud de acceso y confirme los permisos que se usaron para
realizar la tarea.
Paso 4: Crear y comprobar una directiva de acceso a objetos global
Se puede usar una directiva de auditoría de acceso a objetos global para forzar una directiva de
auditoría de acceso a objetos para un equipo, recurso compartido de archivos o Registro sin tener
que configurar y propagar las SACL convencionales. La configuración y propagación de las SACL es
una tarea administrativa más compleja y resulta difícil de comprobar, especialmente si es necesario
demostrar a un auditor que se está cumpliendo la directiva de seguridad. La directiva de auditoría
de acceso a objetos global permite aplicar una directiva de seguridad como "Registrar toda la
actividad de escritura administrativa en servidores que contengan información de Finanzas" y
comprobar que los activos críticos están protegidos.

www.ragazome.info
En este caso, se auditarán los cambios realizados en las claves del Registro por miembros de un
grupo especificado en lugar de los cambios realizados en los objetos del sistema de archivos.
Para configurar, aplicar y validar una directiva de auditoría de acceso a objetos global, debe realizar
lo siguiente:
 Configure una directiva de auditoría de acceso a objetos global del dominio.
 Confirme que se está realizando la auditoría de acceso a objetos global.
Para configurar una directiva de auditoría de acceso a objetos global del dominio
7. Haga doble clic en Acceso a objetos y, a continuación, haga doble clic en Registro.
8. Active la casilla Configurar los siguientes eventos de auditoría, active las casillas Aciertos
y Errores y, a continuación, haga clic en Aceptar.
9. Haga doble clic en Directivas de acceso a objetos global y, a continuación, haga doble clic
en Registro.
10. Active la casilla Definir esta configuración de directiva y haga clic en Configurar.
11. En el cuadro Configuración de seguridad avanzada para SACL de Registro global, haga clic
en Agregar.
12. Escriba un nombre de usuario o nombre de equipo con el formato contosousuario1,
usuario1@contoso.com o CONTOSO-CLNT; a continuación, haga clic en Aceptar.
13. En el cuadro Entrada de auditoría para SACL de Registro global, seleccione las actividades
Correcta o Incorrecta en las que desea registrar entradas de auditoría; por ejemplo, Crear
subclave, Eliminar o Leer.
14. Haga clic en Aceptar tres veces para completar la configuración de directiva de auditoría.

www.ragazome.info
Después de crear la directiva de auditoría, confirme que no se puede sobrescribir esta configuración
de directiva de auditoría avanzada. Para obtener más información, vea el procedimiento "Para
asegurarse de que no se sobrescribe la Configuración de directiva de auditoría avanzada" en la
sección Paso 2: Crear y comprobar una directiva de auditoría avanzada.
A continuación, aplique las actualizaciones de directiva de grupo siguiendo el procedimiento "Para
actualizar la configuración de directiva de grupo" de la sección Paso 2: Crear y comprobar una
directiva de auditoría avanzada. Después de aplicar la configuración de directiva de grupo
actualizada, inicie y cierre sesión en CONTOSO-CLNT.
Para comprobar la aplicación de la directiva de acceso a objetos global
1. Abra el Editor del Registro y cree y modifique una o varias opciones de configuración del
Registro.
2. Elimine una o varias opciones de configuración del Registro que haya creado.
3. Abra el Visor de eventos y confirme que las actividades desencadenaron eventos de
auditoría, a pesar de que no se configuraron SACL de auditoría explícitas en las opciones
de configuración del Registro que creó, modificó y eliminó.
Paso 5: Crear y comprobar directivas de auditoría avanzada adicionales
Ahora que ya ha creado, aplicado y validado los tres tipos básicos de configuración de directiva de
auditoría de seguridad avanzada, debe identificar y probar configuraciones de directiva de auditoría
de seguridad avanzada adicionales siguiendo los procedimientos básicos descritos en las secciones
anteriores.
Para obtener información adicional, vaya a Configuración del equipoDirectivasConfiguración de
WindowsConfiguración de seguridadConfiguración de directiva de auditoría
avanzadaDirectivas de auditoría del sistema, haga clic con el botón secundario en las opciones de
configuración individuales, haga clic en Propiedades y, a continuación, haga clic en la pestaña
Explicar.
A medida que aplica y prueba las configuraciones adicionales, piense en el modo en que los datos
de evento de auditoría que se generan pueden ayudarle a crear una red más segura. En concreto,
valore lo siguiente:
 ¿Es útil la información que proporcionan estos eventos de auditoría?
 ¿Proporcionan suficiente información los datos de auditoría?
 ¿Proporcionan demasiada información los datos de auditoría?

www.ragazome.info
 ¿Cómo se puede ajustar esta configuración de directiva de auditoría para obtener
únicamente la información necesaria?
La auditoría de seguridad es una herramienta crítica y esencial para garantizar que los recursos de
red son seguros. Debe invertir todo el tiempo necesario en explorar y entender la nueva
configuración de directiva de auditoría de seguridad avanzada en Windows 7 y Windows
Server 2008 R2.
Administrar la auditoría por usuario en Windows 7 y Windows Server 2008 R2
La configuración de directiva de auditoría de seguridad de Windows 7 y Windows Server 2008 R2
puede configurarse y usarse únicamente por equipo y no por usuario. Sin embargo, existen varias
formas de aplicar opciones de configuración de auditoría a usuarios específicos:
 Si es posible, configure los permisos de seguridad avanzada en el objeto que se está
auditando de manera que la directiva de auditoría se aplique solamente a un grupo
específico. Por ejemplo, si desea que la configuración de directiva Acceso a objetos se
aplique a un archivo o una carpeta, puede configurar permisos en el archivo o la carpeta de
manera que solo se realice el seguimiento del acceso a objetos en los individuos o grupos
que especifique. En el procedimiento "Para habilitar la auditoría en un archivo o una
carpeta" descrito anteriormente en este documento se explica cómo completar esta tarea.
 Para definir e implementar la configuración de auditoría por usuario, use un archivo de texto
de directiva de auditoría, un script de inicio de sesión y la herramienta de línea de comandos
Auditpol.exe.

www.ragazome.info
Para crear un archivo de texto de directiva de auditoría
1. En el símbolo del sistema, escriba auditpol /set
/user:nombreEntidadSeguridad/category:"nombreSubcategoría" /include /Aciertos o
Errores:enable para agregar una configuración de auditoría por usuario. Repita este paso
para cada subcategoría de directiva de auditoría y usuario o grupo que desee agregar al
archivo de texto de directiva de auditoría.
2. En el símbolo del sistema, escriba auditpol /backup /file:
nombreArchivoDirectivaAuditoría.txt para exportar la directiva.
3. Para dar formato a la directiva, abra nombreArchivoDirectivaAuditoría.txt y quite todas las
líneas excepto la primera línea de texto y las líneas de texto de auditoría por usuario.
4. Cuando haya terminado de crear el archivo, en el menú Archivo, haga clic en Guardar
como y confirme que la opción ANSI esté seleccionada en la lista Codificación. Haga clic en
OK.
5. En el símbolo del sistema, escriba auditpol /restore /file:
nombreArchivoDirectivaAuditoría.txt y presione ENTRAR para confirmar que se ha
establecido la configuración de auditoría deseada. Escriba auditpol /list /user y
presione ENTRAR para obtener una lista de usuarios con configuración de auditoría por
usuario.
6. Copie el archivo nombreArchivoDirectivaAuditoría.txt al recurso compartido Netlogon del
controlador de dominio que tiene el rol de emulador de controlador de dominio principal
(PDC) en el dominio.
Sección opcional: Revertir la directiva de auditoría de seguridad de directiva de auditoría
avanzada a directiva de auditoría básica
La aplicación de una configuración de directiva de auditoría avanzada sustituye cualquier
configuración de auditoría de seguridad básica comparable. Si después cambia la configuración de
directiva de auditoría avanzada a Sin configurar, tendrá que completar los pasos siguientes para
restaurar la configuración de directiva de auditoría básica original:
1. Configure todas las subcategorías de directiva de auditoría avanzada a Sin configurar.
2. Elimine todos los archivos audit.csv de la carpeta %SYSVOL% en el controlador de dominio.
3. Vuelva a configurar y aplique la configuración de directiva de auditoría básica.
A menos que complete todos estos pasos, no se restaurará la configuración de directiva de
auditoría básica.

Implementación Auditoria Windows Server 2008 R2

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Destacado

Destacado (16)

Similar a Implementación Auditoria Windows Server 2008 R2

Similar a Implementación Auditoria Windows Server 2008 R2 (20)

Más de RaGaZoMe

Más de RaGaZoMe (9)

Último

Último (20)

Implementación Auditoria Windows Server 2008 R2