פעולה על אובייקט AD — הבסיס לזיהוי DCSync

מה זה אומר

אירוע עשיר בפרטים. אם ה־Properties כוללים את ה־GUID של DS-Replication-Get-Changes-All והחשבון אינו DC — זהו DCSync.

צעדים ראשונים

1. 1התראה על GUID 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2 מחשבון שאינו DC.
2. 2בדוק מי מחזיק הרשאות רפליקציה: זו הדרך לגנוב את כל הסיסמאות.
3. 3אם אומת — טפל כפריצה מלאה לדומיין (krbtgt פעמיים).

אירועים קשורים

• 4624