Set-AuditRule

Um repositório de entradas de controle de acesso (ACE) úteis que podem ser adicionadas à lista de controle de acesso do sistema (SACL) do descritor de segurança de um objeto protegível para monitorar possíveis atividades adversárias. Essas entradas são categorizadas por objetos protegíveis específicos, como arquivos, chaves de registro e objetos do Active Directory. Além disso, este projeto inclui um script PowerShell que o ajudará a definir as regras de auditoria de forma programática e em escala. O script também utiliza parâmetros dinâmicos do PowerShell para fornecer recursos de preenchimento automático e fornecer os valores necessários para cada sinalizador diretamente das classes de controle de acesso e serviço de diretório.

Objetivos

• Documentar regras de auditoria úteis para monitorar e detectar possíveis adversários acessando objetos protegíveis específicos
• Acelerar o desenvolvimento e a implantação de regras de auditoria em ambientes de rede
• Testar o volume de regras de auditoria e compartilhar descobertas com a comunidade
• Mapear regras de auditoria para ferramentas adversárias
• Aprender sobre Listas de Controle de Acesso do Sistema (SACL)
• Aprender sobre Parâmetros Dinâmicos do PowerShell
• Aprender sobre classes de Controle de Acesso de Segurança da Microsoft

Referências

• Espaço de Nomes de Controle de Acesso
• Direitos de Controle de Acesso do Registro
• Direitos de Controle de Acesso de Arquivos
• Tipos de SID Conhecidos
• Descritor de Segurança

Autores

• Roberto Rodriguez @Cyb3rWard0g

Contribuição

Se você possui uma regra de auditoria que acredita ser útil no seu ambiente para monitorar e detectar possíveis atividades adversárias e gostaria de compartilhá-la com a comunidade, fique à vontade para abrir um PR!

Licença: GPL-3.0

Licença Pública Geral GNU do Set-AuditRule