Ver los usuarios que inician sesión en Windows Server

Uno de los temas más importantes que como administradores tenemos que tener presente es la seguridad de nuestros servidores y equipos, velando por quienes tienen acceso a los mismos y cuidando que privilegio tienen en el mismo. Puede suceder que algún usuario, por accidente o no, realizan modificaciones en diferentes parámetros del servidor y así como pueden haber cambios que no afectan el rendimiento y la estabilidad del sistema otros cambios pueden afectar notablemente la seguridad, la confidencialidad y el performance de Windows Server 2016 y a su vez esto acarrea graves problemas que pueden llegar incluso a problemas legales.

 

Además de realizar copias de seguridad (backup), una de las mejores prácticas que podemos realizar como administradores, jefes de IT y en general como personal de sistemas es implementar una política de auditoría que nos permita supervisar que usuarios han iniciado sesión en Windows Server 2016 (O versiones anteriores de W.Server) y de esta manera poder analizar si las fallas del sistema concuerdan con el inicio de sesión de algún usuario diferente a los autorizados. Vamos a analizar como podemos implementar esta política en un entorno Windows Server 2016.

 

1. Configuración de las políticas de auditoría

El primer paso que debemos realizar para crear nuestra política de auditoría será ingresar al Group Policy Management Console o Consola de Administración de Políticas de Grupo, para ello usaremos la combinación de teclas:

 

+ R

 

Es la zona de Ejecutar y allí ingresamos el término:

gpmc.msc

[color=#a9a9a9]Se abrirá la Consola de administración GPO[/color]

 

 

Pulsamos Enter u OK y veremos la siguiente ventana:

 

 

Estando en la consola de GPO vamos a desplazarnos de la siguiente forma:

Forest / Domains / Nuestro_Dominio / Domain Controllers / Default Domain Controllers Policy

 

Daremos clic derecho sobre Default Domain Controllers Policy y seleccionamos Edit para ingresar al editor de las políticas de grupo, veremos el siguiente entorno:

 

 

Allí debemos dirigirnos a la siguiente ruta:

• Computer Configuration
• Policies
• Windows Settings
• Security Settings
• Advanced Audit Policy Configuration
• Audit Policies

 

[color=rgb(169,169,169)]Pincha en la imagen para ampliar[/color]

 

De esta manera hemos ingresado a la opción de Logon / Logoff y debemos habilitar la auditoría para estas acciones, así cuando un usuario inicie sesión quedará registrado en el visor de eventos para más adelante poder ingresar y realizar el análisis correspondiente. Como vemos la parte derecha tenemos una serie de opciones pero debemos editar las siguientes:

• Audit Logoff
• Audit Logon
• Audit Other Logon/Logoff Events

 

Estas traes (3) opciones nos brindarán información detallada acerca de:

• Inicios de sesión
• Cierres de sesión
• Bloqueo de equipo
• Conexiones a través de escritorio remoto
• Etc.

 

Basta con dar doble clic en las tres (3) opciones y activar la casilla Configure the following audit events y marcar las dos opciones disponibles (Success -Satisfactorio y Failure – Erróneo) para llevar un control total sobre los eventos de inicio y cierre de sesión en Windows Server 2016.

 

 

Pulsamos Apply y posteriormente OK para guardar los cambios.

 

 

2. Analizar el visor de eventos

Una vez hayamos configurado estos parámetros de forma correcta vamos a ingresar al visor de eventos para analizar los respectivos eventos.

 

 

Podremos acceder al visor de eventos usando cualquiera de las siguientes opciones:

• Clic derecho en el ícono de inicio y seleccionamos Visor de eventos o Event Viewer

• Desde el comando Ejecutar podemos ingresar el término:

  eventvwr

  y pulsar Enter.

 

Esta será la apariencia del Visor de eventos en Windows Server 2016 Technical Preview.

 

[color=rgb(169,169,169)]Pincha en la imagen para ampliar[/color]

 

Para poder revisar los eventos antes mencionados seleccionaremos la opción Security de la ficha Windows Logs:

 

[color=rgb(169,169,169)]Pincha en la imagen para ampliar[/color]

 

A continuación daremos clic en la opción Filter Current Log para poder filtrar por ID de evento. Debemos ingresar el ID o los IDs que deseamos validar, simplemente ingresamos el valor (en este ejemplo 4624) en el campo Enter ID:

 

 

Pulsamos OK y veremos el siguiente resultado:

 

[color=#a9a9a9]Pincha en la imagen para ampliar[/color]

 

Allí podremos seleccionar cualquiera de los eventos para analizar toda su información:

 

 

Podemos ver en la parte superior el usuario que ha iniciado sesión, el dominio en el cual se ha conectado y otros parámetros, en la parte inferior podemos observar el tipo de auditoría, la fecha y hora del evento, la descripción del evento y otros aspectos.

 

De esta manera hemos creado una política de auditoría a nivel de inicio y cierre de sesión la cual nos permitirá llevar una gestión total y en todo momento sobre que usuarios y en que momento han iniciado sesión en Windows Server 2016 y a partir de allí determinar si hubo alguna modificación al sistema.