ManageEngine ADAudit Plus: alertas em tempo real para quando alguém for adicionado ao Domain Admins

Se você administra Active Directory, sabe que a pergunta mais perigosa não é "quem tem acesso de Domain Admin hoje?" — é "quem foi adicionado ontem, às 23h, sem ninguém notar?". Elevação de privilégio silenciosa é um dos vetores mais comuns em incidentes de segurança, e depender de auditoria manual ou de relatórios diários não resolve: o estrago já está feito antes de alguém abrir o relatório.

O ManageEngine ADAudit Plus resolve isso com alertas em tempo real: no instante em que um usuário é adicionado a um grupo privilegiado como Domain Admins, Enterprise Admins ou Schema Admins, o administrador recebe uma notificação com o contexto completo — quem fez a mudança, de onde, e quando.[1][3] Neste artigo, vamos configurar esse alerta passo a passo.

Pré-requisitos

Antes de criar o alerta, três coisas precisam estar prontas:

1. Acesso ao console web do ADAudit Plus, com conta de Administrador ou Técnico com permissões delegadas para criar perfis de alerta.[2]
2. Política de auditoria avançada habilitada nos controladores de domínio: em Advanced Audit Policy Configuration > Account Management > Audit Security Group Management, com a opção Success habilitada.[2] Sem isso, os eventos de alteração de grupo simplesmente não são gerados no log de segurança do Windows.
3. Lista de controle de acesso de sistema (SACL) configurada nos grupos de segurança que você quer monitorar, e os controladores de domínio relevantes já adicionados e coletando logs no ADAudit Plus.[2]
4. Se quiser notificação por e-mail, configure o SMTP em Admin > General Settings > Server Settings antes de criar o alerta — senão o perfil fica mudo.[2]

Habilitar a política de auditoria via GPO é simples:

Group Policy Management Console
 → Forest → Domain → Seu domínio → Domain Controllers
 → Editar GPO (ou criar uma nova e linkar aos DCs)
 → Computer Configuration → Policies → Windows Settings
   → Security Settings → Advanced Audit Policy Configuration
   → Account Management → Audit Security Group Management
   → Marcar "Configure the following audit events" → Success

Depois, force a aplicação com:

gpupdate /force

Passo a passo: criando o alerta de "usuário adicionado a grupo privilegiado"

1. Acesse o console do ADAudit Plus e vá até a aba Alerts.

2. Clique em "New Alert Profile" no canto superior direito.

3. Preencha nome e descrição. Use algo direto, por exemplo "Usuário Adicionado ao Domain Admins" — nomes vagos como "Alerta 1" dificultam a vida de quem for revisar os perfis depois.[1]

4. Associe o relatório de referência:

• No campo Report Profiles, clique no símbolo +.
• Em Domain, selecione seu domínio on-premises.
• Em Category, escolha Group Modification.
• Selecione o perfil Security Group Membership Changes e clique em OK.[1][2]

5. Configure o filtro avançado para restringir o alerta ao(s) grupo(s) privilegiado(s) que importam:

• Marque a opção Filter em Advanced Configuration.
• Adicione um filtro: Group Name | equals | Domain Admins (ou o grupo que você quer monitorar).
• Adicione um segundo filtro com operador AND: Message | contains | added — isso garante que o alerta dispara só na adição, não na remoção.[1]

6. Configure as ações do alerta na seção Alert Actions:

• E-mail Notification: marque e informe os destinatários.
• SMS Notification: se você tiver um provedor de SMS configurado, ative para resposta mais rápida fora do horário comercial.
• Execute Script: permite disparar automaticamente uma ação corretiva, como bloquear temporariamente a conta adicionada até a validação manual.
• Configure Auto Ticketing: se você integra com ServiceNow, Jira, ManageEngine ServiceDesk Plus, Freshservice, Zendesk ou Kayako, o ADAudit Plus já abre o chamado com todos os detalhes do evento pré-preenchidos.[1][3]

7. Clique em Save para ativar o perfil.

Validando o alerta

Não confie que funcionou só porque salvou. Teste:

1. Adicione um usuário de teste ao grupo configurado no filtro (ex.: Domain Admins).
2. Volte à aba Alerts no ADAudit Plus e confira se o alerta apareceu, com os detalhes corretos do evento.
3. Confirme que o e-mail (ou SMS) chegou ao destinatário configurado.
4. Se você usou filtro por grupo específico, teste também com outro grupo fora do filtro — o alerta não deve disparar.[1][2]

Indo além: outros alertas que valem a pena

Depois de validar esse primeiro perfil, vale replicar a mesma lógica para outros eventos de alto risco que o ADAudit Plus já cobre com relatórios prontos:

• Alteração no grupo primário de um usuário (primaryGroupID), que pode mascarar uma elevação de privilégio sem passar por uma mudança óbvia de membership.[4]
• Exclusão ou modificação de GPO, especialmente política de senha e de bloqueio de conta — um GPO mal ajustado afeta milhares de endpoints de uma vez.[3]
• Alterações no AdminSDHolder, que se propagam automaticamente para todas as contas em grupos protegidos — uma mudança não autorizada aqui é silenciosa e abrangente.[3]
• Permissões em compartilhamentos críticos de arquivos, usando a categoria File Audit com o relatório Folder Permission Changes.[1]

O ADAudit Plus também cobre, pelo mesmo console, alertas unificados para Microsoft Entra ID (login de risco, password spray, viagem impossível, mudanças de Conditional Access) — útil se seu ambiente já é híbrido.[3]

Conclusão

Relatório de auditoria que você só olha quando alguém pergunta "o que aconteceu?" é auditoria tardia. O valor real do ADAudit Plus está em transformar eventos críticos do Active Directory — como adição a grupos privilegiados — em alertas que chegam no momento em que a mudança acontece, com contexto suficiente para agir (ou, com automação de resposta, agir sozinho). O trabalho de configurar a política de auditoria no GPO e o perfil de alerta no console é de uma tarde; o retorno é detectar uma escalada de privilégio não autorizada antes que ela se torne um incidente.

Se sua organização já usa ADManager Plus para provisionamento (como vimos no artigo anterior desta série), o ADAudit Plus é o complemento natural: um cria e gerencia, o outro vigia e avisa quando algo sai do esperado.

📚 Recursos recomendados

• Implantando a Governança de TI (4ª edição) — cobre o framework de governança (incluindo auditoria e gestão de risco de TI) que dá contexto estratégico para justificar e priorizar os alertas de segurança que você configura no ADAudit Plus.

Sources

[1] https://pitstop.manageengine.com/portal/en/kb/articles/how-to-detect-privilege-escalations-using-adaudit-plus — How to detect privilege escalations using ADAudit Plus
[2] https://pitstop.manageengine.com/portal/en/kb/articles/how-to-configure-a-custom-alert-to-receive-alerts-for-the-group-membership-changes — How to configure a custom alert for group membership changes
[3] https://manageengine.com/products/active-directory-audit/active-directory-change-alerts.html — Active Directory Alerts and Monitoring | ADAudit Plus
[4] https://download.manageengine.com/products/active-directory-audit/active-directory-auditing-solution.pdf — Product overview | ADAudit Plus