Членство в группах при входе (Group membership)

Что это значит

Пишется вместе с 4624 и показывает, в каких группах состоял пользователь в момент входа. Так сразу видно, что вошёл кто-то с правами Domain Admins.

Первые шаги

1. 1Свяжите с 4624 по Logon ID.
2. 2Ищите чувствительные группы (Domain Admins, Enterprise Admins) на обычных компьютерах.
3. 3Вход админа на рабочую станцию — риск кражи хэша (Pass-the-Hash).