Ко всем событиям4738Учётные записиWARNОбновлено:
Учётная запись изменена
Что это значит
Изменены атрибуты учётки: UAC flags, SPN, «пароль не истекает», шифрование. Появление SPN у обычной учётки — красный флаг (Kerberoasting).
Первые шаги
- 1Сравните поля old/new в событии.
- 2Ищите появление servicePrincipalName или отключение pre-auth.
Связанные события
Справочник — отправная точка расследования, а не замена политике безопасности вашей организации.