セキュリティヒント：Active Directory での権限変更を検知する

このヒントでは、Active Directory のオブジェクトに対する権限変更の監査（auditing）を有効にする方法を紹介します。 以下の変更は、誰かが Active Directory 内のオブジェクトに対して権限を正常に委任または変更した場合に、イベント ID 5136 を記録します。Active Directory。

最初の手順は、DC でディレクトリ サービスの変更を監査できるようにすることです。これは Default Domain Controllers Policy Group Policy Object（GPO）を変更することで実行できます。

• Log in to a server or workstation, where the Remote Server Administration Tools (RSAT) are installed, with an account that has domain administrator privileges.
• 「Group Policy Management」を開きます。Windows Server で作業している場合、Group Policy Management はサーバー マネージャー（Server Manager）の Tools メニューから開けます。
• Group Policy Management で AD フォレストを展開し、Domains、ドメイン、そして Domain Controllers の組織単位（OU）を展開します。
• 「Default Domain Controllers Policy」の GPO を右クリックし、メニューから Edit を選択します。
• Group Policy Management Editor ウィンドウで、左側のペインの Computer Configuration の下にある Policies > Windows Settings > Advanced Policy Configuration を展開し、 DS Access をクリックします。

• 右側で Audit Directory Service Changes をダブルクリックします。
• Properties ダイアログの Policy タブで、 Configure the following audit events を選択し、 Success と Failure の両方を選択します。 OK をクリックします。
• Group Policy Management Editor

次に、ドメインにシステム アクセス制御リスト（SACL）を追加して、変更された権限を監査します。

• Active Directory Users and Computers（ADUC）を開きます。
• View メニューを開き、Advanced Features の左側にチェックが入っていることを確認してください。入っていない場合は、Advanced Features をクリックして有効にします。
• 左側のペインで、AD domain を右クリックし、Properties をメニューから選択します。
• Properties ダイアログで、Security タブに切り替え、Advanced をクリックします。
• Advanced Security Settings ダイアログで、Auditing タブに切り替え、Add をクリックします。
• Auditing Entry ダイアログで、 プリンシパルを選択 をクリックし、 everyone を 選択するオブジェクト名を入力 の ユーザー、コンピューター、サービス アカウント、またはグループの選択 ダイアログに入力して、 OK をクリックします。
• Auditing Entry ダイアログで、 Type: が Success に設定されており、 Applies to: が This object and all descendant objects になっていることを確認してください。

• Permissions, の下で、 Modify permissions が唯一選択されていることを確認し、 OK をクリックします。
• Advanced Security Settings およびドメイン Properties ダイアログで、 OK をクリックします。
• ADUC を閉じます。

権限の変更が 現在ログに記録されていることを証明するために、委任された権限を設定しました（ADUCに組み込まれている Delegation of Control Wizard を使用して、AD の User コンテナー上で、Helpdesk という名前のグループに委任します。これにより、メンバーがユーザーのパスワードをリセットできるようになります。セキュリティ イベントの一覧を取得するために、ドメイン コントローラーにログインし、PowerShell で次のコマンドを実行しました：

      Get-EventLog Security -Newest 10 | Where-Object {$_.EventID -eq 5136} |
Format-List
      

スクリーンショットから分かるように、Administrator アカウントによって Users コンテナーの権限が変更されており、新しいセキュリティ記述子（SDDL）の値が提示されています。とはいえ、形式はかなり読みにくいものです。