Event IDs חשובים ב־AD

כל פעולה משמעותית ב־Domain Controller נרשמת ב־Security Log. הכרת ה־Event IDs המרכזיים היא הבסיס לניטור ולחקירה.

Event IDs מרכזיים

• 4624 — התחברות מוצלחת (Successful Logon).
• 4625 — ניסיון התחברות שנכשל, שימושי לזיהוי Password Spraying.
• 4768 / 4769 — בקשת TGT ו־Service Ticket ב־Kerberos (Kerberoasting).
• 4720 / 4726 — יצירה או מחיקה של חשבון משתמש.
• 4728 / 4732 — הוספת משתמש לקבוצה מיוחסת כמו Domain Admins.

# חיפוש ניסיונות התחברות שנכשלו ב־24 השעות האחרונות
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)}

Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625;StartTime=(Get-Date).AddHours(-24)} |
  Select TimeCreated,@{n='User';e={$_.Properties[5].Value}},@{n='Src';e={$_.Properties[19].Value}}

wevtutil gl Security                  # גודל היומן
auditpol /get /category:*             # מדיניות ביקורת בפועל