Перейти к содержимому
AD Academy
Ко всем событиям
4662Security (DC)Безопасность и атакиCRITОбновлено:

Операция над объектом AD — база для обнаружения DCSync

Что это значит

Подробное событие. Если в Properties есть GUID DS-Replication-Get-Changes-All, а учётка не является DC — это DCSync.

Первые шаги

  1. 1Правило: GUID 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2 от учётки, не являющейся DC.
  2. 2Проверьте, у кого есть права репликации: это способ выгрузить все пароли.
  3. 3Подтвердилось — считайте домен скомпрометированным (krbtgt дважды).

Связанные события

Справочник — отправная точка расследования, а не замена политике безопасности вашей организации.