Fall der verschwindenden Objekte: So prüfen Sie, wer was in Active Directory gelöscht hat
Ich werde oft gefragt, wie ich das Löschen von Objekten in Active Directory überwachen kann. Mit dem Windows-Sicherheitsprotokoll geht das ganz einfach - vor allem, um das Löschen von Benutzern und Gruppen zu verfolgen, was ich Ihnen zuerst zeigen werde. Sie müssen lediglich „Benutzerkonten überwachen“ und „Sicherheitsgruppenverwaltung überwachen“ im Gruppenrichtlinienobjekt „Standarddomänencontroller“ aktivieren. Sie finden diese beiden Richtlinien unter „Sicherheitseinstellungen - Erweiterte Überwachungsrichtlinienkonfiguration“. Stellen Sie sicher, dass Sie auch die Sicherheitsoption mit dem Namen „Audit: Überschreiben von Audit-Richtlinien-Unterkategorien erzwingen …“ aktivieren. Diese Option stellt sicher, dass die letztgenannten Einstellungen tatsächlich wirksam werden.
Innerhalb weniger Minuten beginnen alle Ihre Domänencontroller mit der Überwachung von Änderungen an Domänenbenutzern und -gruppen - einschließlich Löschungen. Die Ereignisse, nach denen gesucht werden muss, sind
4730 - Eine sicherheitsaktivierte globale Gruppe wurde gelöscht
4734 - Eine sicherheitsaktivierte lokale Gruppe wurde gelöscht
4758 - Eine sicherheitsaktivierte universelle Gruppe wurde gelöscht
4726 - Ein Benutzerkonto wurde gelöscht
Hier ist ein Beispiel für die Ereignis-ID 4726:
Ein Benutzerkonto wurde gelöscht.
Thema :
Sicherheits-ID: WIN-R9H529RIO4YAdministrator
Kontoname: Administrator
Kontodomäne: WIN-R9H529RIO4Y
Anmelde-ID: 0x1fd23
Zielkonto:
Sicherheits-ID: WIN-R9H529RIO4Ybob
Kontoname: bob
Kontodomäne: WIN-R9H529RIO4Y
Weitere Informationen:
Privilegien -
Wie Sie sehen, gibt es für jeden Gruppenbereich eine andere Ereignis-ID, die ich oben durch Unterstreichung angegeben habe. In den Feldern unter „Betreff“ erfahren Sie wie immer, wer die Gruppe gelöscht hat, und unter „Gelöschte Gruppe“ sehen Sie den Namen und die Domäne der Gruppe, die entfernt wurde. Dann gibt es natürlich noch 4726 für das Löschen von Benutzerkonten. Die Interpretation dieses Ereignisses ist einfach; Die Felder „Betreff“ geben an, wer den Löschvorgang durchgeführt hat, und die Felder „Ziel“ geben das Benutzerkonto an, das jetzt nicht mehr vorhanden ist.
Das Überwachen von Löschungen von Organisationseinheiten (OUs) und Gruppenrichtlinienobjekten (GPOs) erfordert einige weitere Schritte. Zuerst müssen Sie „Verzeichnisdienständerungen prüfen“ im selben Gruppenrichtlinienobjekt wie oben aktivieren. Aber Active Directory beginnt noch nicht automatisch mit der Überwachung von Löschungen von Organisationseinheiten und GPOS. Als nächstes müssen Sie Active Directory-Benutzer und -Computer öffnen. Wählen Sie das Stammverzeichnis der Domäne aus, klicken Sie mit der rechten Maustaste darauf und wählen Sie Eigenschaften aus. Klicken Sie auf die Registerkarte „Sicherheit“, dann auf „Erweitert“ und dann auf die Registerkarte „Überwachung“. Jetzt sehen Sie sich die Überwachungsrichtlinie auf Objektebene für das Stammverzeichnis der Domäne an, die automatisch an untergeordnete Objekte weitergegeben wird. Hier müssen Sie zwei Einträge hinzufügen, die die erfolgreiche Verwendung der Löschberechtigung für die Objekte „organizationUnit“ und „groupPolicyContainer“ überwachen, wie unten gezeigt.
Innerhalb weniger Minuten sollten Ihre Domänencontroller mit der Protokollierung der Ereignis-ID 5141 beginnen, wenn ein Objekttyp gelöscht wird. Um festzustellen, welche Art von Objekt gelöscht wurde, schauen Sie sich das Feld „Klasse“ an, das entweder „organizationalUnit“ oder „groupPolicyContainer“ ist. Die anderen Felder unter „Objekt:“ und „Verzeichnisdienst“ geben den Namen und die Domäne des gelöschten Objekts an, und natürlich teilt uns der Betreff mit, wer das Objekt gelöscht hat. Hier ist ein Beispiel für ein gelöschtes Gruppenrichtlinienobjekt. Beachten Sie, dass die GUID des Gruppenrichtlinienobjekts anstelle des benutzerfreundlicheren Anzeigenamens aufgeführt ist. Das liegt daran, dass die GPOs in ihrem offiziellen Distinguished Name durch GUID identifiziert werden.
Ein Verzeichnisdienstobjekt wurde gelöscht.
Thema :
Sicherheits-ID: ACMEadministrator
Kontoname: Administrator
Kontodomäne: ACME
Anmelde-ID: 0x30999
>Verzeichnisdienst:
Name: acme.com
Typ: Active Directory-Domänendienste
Objekt :
DN: CN={8F8DF4A9-5B21-4A27-9BA6- 1AECC663E843},CN=Policies,CN=System,DC=acme,DC=com
GUID: CN={8F8DF4A9-5B21-4A27-9BA6-1AECC663E843}ADEL:291d5001- 782a-4b3c-a319-87c060621b0e,CN=Deleted Objects,DC=acme,DC=com
Klasse: groupPolicyContainer
Betrieb:
Baum löschen: Nein
Korrelations-ID: {140c9cef-8dc1-48f4-8b4a-de79230731a6}
Anwendungskorrelations-ID: -
Um kurz auf Benutzer und Gruppen zurückzukommen: Denken Sie daran, dass die oben beschriebene Methode auch dazu führt, dass alle anderen Änderungen an Benutzern und Gruppen ebenfalls überwacht werden, was meiner Meinung nach wichtig ist. Wenn Sie jedoch wirklich nur Löschungen verfolgen möchten, können Sie die gleiche Methode, die gerade für Organisationseinheiten und Gruppenrichtlinienobjekte beschrieben wurde, auch für Benutzer und Gruppen verwenden. Sie müssen lediglich Prüfeinträge für Benutzer- und Gruppenobjekte im Stammverzeichnis der Domäne hinzufügen. Dann beginnt Active Directory auch mit der Aufzeichnung von 5141 für Benutzer- und Gruppenlöschungen.