Перейти к содержимому
AD Academy
Ко всем событиям
4728Security (DC)Группы и праваCRITОбновлено:

Пользователь добавлен в глобальную группу (например Domain Admins)

Что это значит

Кто-то получил права через глобальную группу. Для Domain Admins / Enterprise Admins это тревога первого уровня.

Когда это норма, а когда подозрительно

Норма: добавление в обычную рабочую группу по заявке helpdesk. Всегда подозрительно: добавление в Domain Admins — даже «плановое».

Первые шаги

  1. 1Сверьтесь с согласованной заявкой — иначе сразу удалите из группы.
  2. 2Проверьте инициатора: не добавили ли его самого недавно в привилегированную группу.
  3. 3Родственные: 4732 (domain local) и 4756 (universal).

Поля, на которые смотреть

ПолеНа что смотреть
TargetUserName (group)Имя группы. Список чувствительных групп должен быть заранее задан в SIEM.
MemberSidКого добавили — работайте по SID, имена меняются.
SubjectКто выполнил. Незнакомый админский аккаунт — немедленное расследование.

Связанные события

Справочник — отправная точка расследования, а не замена политике безопасности вашей организации.