Configurazione Wazuh su Domain Controller Windows: Guida alla Sicurezza di Active Directory

Il Domain Controller (DC) è il cuore pulsante di ogni infrastruttura aziendale basata su Windows. Rappresenta il bersaglio principale per ogni cybercriminale: una volta compromesso, l’attaccante ottiene le “chiavi del regno”, potendo creare nuovi utenti, esfiltrare hash di password o paralizzare l’intera organizzazione. Integrare il monitoraggio di Wazuh su Domain Controller non è solo consigliato, è vitale.

Perché monitorare il Domain Controller con Wazuh?

L’integrazione di un agente Wazuh sul DC permette di rilevare minacce specifiche che i comuni antivirus non possono intercettare, tra cui:

• Attacchi Brute Force: Tentativi ripetuti di accesso ad account privilegiati.
• Pass-the-Hash e Golden Ticket: Tecniche avanzate di movimento laterale e persistenza.
• Modifiche ai Gruppi Privilegiati: Aggiunta non autorizzata di utenti ai gruppi “Domain Admins”.
• Cancellazione dei Log di Sicurezza: Tentativi di occultare le tracce dopo un’intrusione.

Fase 1: Installazione dell’Agente Wazuh

Il primo passo è installare l’agente Wazuh sul server Windows. È possibile scaricare l’installer MSI dal pannello di controllo Wazuh o tramite PowerShell. Durante l’installazione, assicuratevi di inserire correttamente l’indirizzo IP del vostro Wazuh Manager.

Fase 2: Configurazione dei Criteri di Audit di Windows

Affinché Wazuh riceva i dati necessari, il Domain Controller deve generare i log corretti. È necessario configurare i Criteri di Audit Avanzati tramite GPO o secpol.msc. In particolare, abilitate il monitoraggio per:

• Accesso agli account (Successo e Fallimento).
• Gestione degli account (Modifiche a utenti e gruppi).
• Accesso al servizio directory (Modifiche agli oggetti AD).
• Cambiamenti nei criteri di sistema.

Fase 3: Configurazione del file ossec.conf

Per ottimizzare la raccolta, modificate il file C:\Program Files (x86)\ossec-agent\ossec.conf sull’agente. Assicuratevi che la sezione <localfile> includa il monitoraggio del canale Security:

<localfile>
  <location>Security</location>
  <log_format>eventlog</log_format>
</localfile>

Fase 4: Integrazione con Sysmon (Consigliato)

Per una visibilità ancora più profonda (come il rilevamento di processi malevoli o connessioni di rete sospette), consigliamo di installare Microsoft Sysmon sul Domain Controller. Wazuh può leggere i log di Sysmon aggiungendo il canale Microsoft-Windows-Sysmon/Operational nel file di configurazione dell’agente.

Fase 5: Verifica e Alerting

Riavviate l’agente Wazuh. Da questo momento, nella dashboard di Wazuh, inizierete a vedere gli eventi provenienti dal DC. Potrete filtrare per SCA (Security Configuration Assessment) per verificare se il server rispetta le best practice di hardening o visualizzare gli alert relativi a tentativi di accesso falliti in tempo reale.

La sicurezza di Active Directory non ammette errori. Hai bisogno di supporto per blindare il tuo Domain Controller o gestire il monitoraggio del tuo SOC? Contatta gli esperti di Cyberdef.it e metti al sicuro l’identità della tua azienda.