דילוג לתוכן הראשי
AD Academy
חזרה למדריך האירועים
4728Security (DC)קבוצות והרשאותCRITעודכן לאחרונה:

חבר נוסף לקבוצה גלובלית (למשל Domain Admins)

מה זה אומר

מישהו קיבל הרשאות דרך קבוצה גלובלית. עבור Domain Admins / Enterprise Admins זו התראה מדרגה ראשונה.

מתי זה נורמלי ומתי חשוד

נורמלי: הוספה לקבוצת עבודה רגילה בעקבות כרטיס Helpdesk. חשוד תמיד: הוספה ל־Domain Admins — גם אם 'מתוכננת'.

צעדים ראשונים

  1. 1ודא מול תהליך שינויים מאושר — אחרת הוצא מיד את החבר.
  2. 2בדוק את היוצר: האם הוא עצמו הוסף לאחרונה לקבוצה פריבילגית.
  3. 3אחיו: 4732 (קבוצה מקומית בדומיין) ו־4756 (Universal).

שדות שכדאי לבדוק

שדהעל מה להסתכל
TargetUserName (group)שם הקבוצה. רשימת קבוצות רגישות צריכה להיות מוגדרת מראש ב־SIEM.
MemberSidמי נוסף — עבוד לפי SID, שמות משתנים.
Subjectמי ביצע. חשבון שאינו אדמין מוכר = חקירה מיידית.

אירועים קשורים

המדריך הוא נקודת פתיחה לחקירה, לא תחליף למדיניות האבטחה של הארגון שלך.