Cenário: Auditoria de acesso a arquivos

A Auditoria de Segurança é uma das ferramentas mais poderosas para ajudar a manter a segurança de uma empresa. Um dos principais objetivos das auditorias de segurança é a conformidade regulamentar. Padrões do setor, como Sarbanes Oxley, Health Insurance Portability and Accountability Act (HIPAA) e Payment Card Industry (PCI), exigem que as empresas sigam um conjunto rigoroso de regras relacionadas à segurança e privacidade de dados. As auditorias de segurança ajudam a estabelecer a presença de tais políticas e comprovam a conformidade com essas normas. Além disso, as auditorias de segurança ajudam a detetar comportamentos anômalos, identificar e mitigar lacunas nas políticas de segurança e dissuadir comportamentos irresponsáveis, criando uma trilha de atividade do usuário que pode ser usada para análise forense.

Os requisitos da política de auditoria geralmente são orientados nos seguintes níveis:

• Segurança da informação. As trilhas de auditoria de acesso a arquivos são frequentemente usadas para análise forense e deteção de intrusão. Ser capaz de obter eventos direcionados sobre o acesso a informações de alto valor permite que as organizações melhorem consideravelmente seu tempo de resposta e precisão de investigação.

• Política organizacional. Por exemplo, as organizações reguladas pelos padrões PCI poderiam ter uma política central para monitorar o acesso a todos os arquivos marcados como contendo informações de cartão de crédito e informações de identificação pessoal (PII).

• Política departamental. Por exemplo, o departamento financeiro pode exigir que a capacidade de modificar certos documentos financeiros (como um relatório trimestral de resultados) seja restrita ao departamento financeiro e, portanto, o departamento gostaria de monitorar todas as outras tentativas de alterar esses documentos.

• Política empresarial. Por exemplo, os proprietários de empresas podem querer monitorar todas as tentativas não autorizadas de exibir dados que pertencem aos seus projetos.

Além disso, o departamento de conformidade pode querer monitorar todas as alterações em políticas de autorização central e construções de diretiva, como atributos de usuário, computador e recurso.

Uma das maiores considerações das auditorias de segurança é o custo de coleta, armazenamento e análise de eventos de auditoria. Se as políticas de auditoria forem demasiado amplas, o volume de eventos de auditoria recolhidos aumenta, o que aumenta os custos. Se as políticas de auditoria forem muito restritas, você corre o risco de perder eventos importantes.

Com o Windows Server 2012, você pode criar políticas de auditoria usando declarações e propriedades de recursos. Isso leva a políticas de auditoria mais ricas, direcionadas e fáceis de gerenciar. Permite cenários que, até agora, eram impossíveis ou muito difíceis de executar. Seguem-se exemplos de políticas de auditoria que os administradores podem criar:

• Audite todas as pessoas que não têm uma autorização de alta segurança e tentam acessar um documento HBI. Por exemplo, Auditoria | Todos | All-Access | Resource.BusinessImpact=HBI E User.SecurityClearance!=Alto.

• Audite todos os fornecedores quando eles tentarem acessar documentos relacionados a projetos nos quais não estão trabalhando. Por exemplo, Auditoria | Todos | All-Access | User.EmploymentStatus=Vendor E User.Project Not_AnyOf Resource.Project.

Essas políticas ajudam a regular o volume de eventos de auditoria e os limitam apenas aos dados ou usuários mais relevantes.

Depois que os administradores tiverem criado e aplicado as políticas de auditoria, a próxima consideração para eles é obter informações significativas dos eventos de auditoria coletados. Os eventos de auditoria baseados em expressões ajudam a reduzir o volume de auditorias. No entanto, os usuários precisam de uma maneira de consultar esses eventos em busca de informações significativas e fazer perguntas como "Quem está acessando meus dados HBI?" ou "Houve uma tentativa não autorizada de acessar dados confidenciais?"

O Windows Server 2012 aprimora os eventos de acesso a dados existentes com declarações de usuário, computador e recursos. Esses eventos são gerados por servidor. Para fornecer uma visão completa dos eventos em toda a organização, a Microsoft está trabalhando com parceiros para fornecer ferramentas de coleta e análise de eventos, como os Serviços de Coleta de Auditoria no System Center Operation Manager .

A Figura 4 mostra uma visão geral de uma política de auditoria central.

Figura 4 Experiências de auditoria centralizada

A configuração e realização de auditorias de segurança geralmente envolvem as seguintes etapas gerais:

1. Identificar o conjunto correto de dados e usuários a serem monitorados

2. Criar e aplicar políticas de auditoria apropriadas

3. Coletar e analisar eventos de auditoria

4. Gerenciar e monitorar as políticas que foram criadas

Neste cenário

Os tópicos a seguir fornecem orientações adicionais para esse cenário:

• Planejar a auditoria de acesso a arquivos

• Implantar auditoria de segurança com políticas de auditoria central (etapas de demonstração)

Funções e recursos incluídos neste cenário

A tabela a seguir lista as funções e os recursos que fazem parte desse cenário e descreve como eles oferecem suporte a ele.