Genera alertas cuando las cuentas de usuario locales en un dispositivo difieren de la lista que espera. El Monitor de usuario compara las cuentas presentes en cada dispositivo cubierto con su lista de usuarios conocidos y se activa cuando algo no coincide: una cuenta que no autorizó o una cuenta que debería existir pero no existe.

Esta es una de las formas más rápidas de detectar cuentas de administrador no autorizadas, una técnica de persistencia habitual tras un compromiso, y de detectar cuándo se elimina una cuenta de servicio requerida.

El agente realiza un inventario de las cuentas de usuario locales en los dispositivos cubiertos y las compara con su Usuarios conocidos lista. La verificación se ejecuta aproximadamente cada 60 segundos y el intervalo no es configurable.

La alerta se activa en la primera verificación que detecta una discrepancia, por lo que la latencia de detección es de aproximadamente un minuto. La condición se borra en la siguiente verificación después de que desaparece la discrepancia, sujeto a la configuración de resolución automática.

El texto de la alerta nombra las cuentas infractoras: «Usuarios desconocidos detectados: guest, hacker» o «Usuarios faltantes detectados: svc_backup». Con el alcance de administrador habilitado, indica «usuarios administradores» en su lugar.

El monitor compara las cuentas locales regulares, no todas las cuentas que el sistema operativo conoce. El agente filtra automáticamente las cuentas del sistema y de servicio, por lo que no es necesario agregarlas a su lista de usuarios conocidos.

Abra la política de monitor de destino y haga clic en + Agregar nuevo monitor. El Agregar nuevo monitor el panel se abre.

Establezca Gravedad según el impacto de los cambios de cuenta inesperados en este contexto:

Ingrese las cuentas de usuario que espera en los dispositivos cubiertos en el Usuarios conocidos campo. Cada cuenta aparece como una etiqueta extraíble. Presione tabulador o agregue una coma para añadir usuarios adicionales, y haga clic en × en una etiqueta para eliminarla.

La coincidencia no distingue entre mayúsculas y minúsculas, y los espacios alrededor de los nombres se ignoran. Jacob y jacob coinciden con la misma cuenta.

Alcance controla qué cuentas compara el monitor con su lista:

Alerta cuando establece la condición que activa la alerta:

En cualquier caso, la lista de usuarios conocidos es el conjunto de referencia. En el modo desconocido funciona como una lista de permitidos; en el modo de faltantes funciona como una lista de requeridos.

Adjunte una o más automatizaciones para que se ejecuten cuando se active este monitor. Para una cuenta de administrador inesperada, esto podría significar bloquear el dispositivo, deshabilitar la cuenta mediante un script o notificar a su contacto de seguridad.

Una vez adjunta una automatización, ábrala desde el ícono de enlace para revisarla y asigne el payload del monitor a una variable de automatización si desea pasar datos de alerta a la lógica de la automatización.

Las Notificar a destinatarios las casillas de verificación controlan si los destinatarios de la política reciben correos electrónicos:

Los destinatarios se gestionan a nivel de la política de monitor, en la Destinatarios sección.

Resolver alerta automáticamente cuando las condiciones se aclaren cierra la alerta automáticamente cuando el estado de la cuenta vuelve a coincidir con su lista de usuarios conocidos, por ejemplo, cuando se elimina la cuenta fraudulenta o se restaura la cuenta faltante.

Para un monitor orientado a la seguridad, generalmente conviene tener esto deshabilitado para revisión manual. Una cuenta no autorizada que aparece y luego desaparece es exactamente el tipo de evento que un humano debería revisar, incluso después de que la condición se aclare.