So erkennen Sie Änderungen an Organisationseinheiten und Gruppen in Active Directory

Netwrix Auditor für Active Directory

• Netwrix Auditor starten → Navigieren Sie zu "Suche" → Klicken Sie auf "Erweiterter Modus", falls nicht ausgewählt → Richten Sie die folgenden Filter ein:
  • Filter = "Datenquelle"
    Operator = "Gleich"
    Wert = "Active Directory"
  • Filter = "Objekttyp"
    Operator = "Gleich"
    Wert = "Organisationseinheit"
  • Filter = "Objekttyp"
    Operator = "Gleich"
    Wert = "Gruppe"
• Klicken Sie auf die Schaltfläche "Suchen" und überprüfen Sie, welche Änderungen an Gruppen und Organisationseinheiten vorgenommen wurden.

Um eine Benachrichtigung für Änderungen an Organisationseinheiten und Gruppen zu erstellen:

• Navigieren Sie in den Suchergebnissen zu „Tools“ → Klicken Sie auf „Alert erstellen“ → Geben Sie den Namen des neuen Alerts an.
• Wechseln Sie zur Registerkarte „Empfänger“ → Klicken Sie auf „Empfänger hinzufügen“ → Geben Sie die E-Mail-Adresse an, an die der Alarm gesendet werden soll.
• Klicken Sie auf „Hinzufügen“, um den Alarm zu speichern.

Erfahren Sie mehr über Netwrix Auditor for Active Directory

Native Prüfung

1. Führen Sie GPMC.msc (url2open.com/gpmc) aus → Erstellen Sie eine neue GPO und bearbeiten Sie diese → Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Überwachungsrichtlinie:
   • Kontenverwaltung überwachen → Definieren → Erfolg
   • Auditieren Sie den Directory Service-Zugriff → Definieren → Erfolg.
2. Zurück zur Ebene der Sicherheitseinstellungen → Event Log:
   • Maximale Sicherheitsprotokollgröße → Auf 4 GB festlegen
   • Methode zur Aufbewahrung des Sicherheitsprotokolls → Definieren Sie, dass Ereignisse bei Bedarf überschrieben werden.
3. Verknüpfen Sie die neue GPO: Gehen Sie zu "Gruppenrichtlinienverwaltung" → Rechtsklick auf Domäne oder OU → Wählen Sie 'Vorhandene GPO verknüpfen' → Wählen Sie die von Ihnen erstellte GPO.
4. Erzwingen Sie das Gruppenrichtlinien-Update: Klicken Sie in der "Gruppenrichtlinienverwaltung" mit der rechten Maustaste auf die definierte OU → Klicken Sie auf "Gruppenrichtlinien-Update".
5. Öffnen Sie ADSI Edit (url2open.com/adsi) → Klicken Sie mit der rechten Maustaste auf ADSI Edit → Verbinden mit Standardnamenskontext → Klicken Sie mit der rechten Maustaste auf das DomainDNS-Objekt mit dem Namen Ihrer Domain → Eigenschaften → Sicherheit (Tab) → Erweitert (Button) → Überwachung (Tab) → Prinzipal hinzufügen "Jeder" → Typ "Erfolg" → Gilt für "Dieses Objekt und untergeordnete Objekte" → Berechtigungen → Wählen Sie alle Kontrollkästchen durch Klicken auf "Vollzugriff", mit Ausnahme der folgenden: Vollzugriff, Inhalte auflisten, Alle Eigenschaften lesen, Berechtigungen lesen → Klicken Sie auf "OK".
6. Öffnen Sie den Ereignisanzeiger und filtern Sie das Sicherheitsprotokoll, um Ereignis-IDs zu finden (Windows Server 2003/2008-2012):
   • 4727, 4731, 4754, 4759, 4744, 4749 – Gruppe erstellt
   • 4728, 4732, 4756, 4761, 4746, 4751 – Mitglied zu einer Gruppe hinzugefügt
   • 4729, 4733, 4757, 4762, 4747, 4752 – Mitglied aus einer Gruppe entfernt
   • 4730, 4734, 4758, 4748, 4753, 4763 – Gruppe gelöscht
   • 4735, 4737, 4745, 4750, 4755, 4760 – Gruppe geändert
   • 4662 - Ein Vorgang wurde an einem Objekt durchgeführt (Typ: Directory Service Access).

Überwachen Sie kontinuierlich Änderungen an OUs und Gruppen, um Systemausfälle zu vermeiden

Jede unbeabsichtigte oder böswillige Änderung an Active Directory-Organisationseinheiten (OUs) kann ernsthafte Folgen haben. Wenn beispielsweise eine Active Directory-OU, die Benutzerkonten enthält, gelöscht wird, können sich die Benutzer nicht anmelden, und diejenigen, die bereits angemeldet sind, können Probleme beim Zugriff auf E-Mails, Dateiserver und andere kritische Ressourcen bekommen. Die Löschung einer Gruppe in Active Directory kann zu ähnlichen Problemen führen, da Benutzer oft wichtige Zugriffsberechtigungen über die Gruppenmitgliedschaft erhalten. All diese Probleme stören Geschäftsabläufe, beeinträchtigen die Produktivität und erhöhen den Druck auf den Helpdesk.

Netwrix Auditor for Active Directory kann alle Änderungen an Gruppen und OUs in Active Directory überwachen und unautorisierte Modifikationen schnell rückgängig machen, indem Active Directory-Objekte wiederhergestellt werden. Das heißt, wenn eine unbeabsichtigte oder bösartige Änderung auftritt, kann Netwrix Auditor for Active Directory alle Konfigurationseinstellungen schnell auf einen früheren Zustand zurücksetzen, ohne Ausfallzeiten oder die Notwendigkeit einer Wiederherstellung aus einem Backup. Es kann auch die Passwörter von Benutzern wiederherstellen, die gelöscht wurden. Mit anderen Worten, Sie können schnell die Zeit zurückdrehen bei Änderungen an OUs in Active Directory, die auf eine Sicherheitsbedrohung hinweisen könnten.