Active Directory で組織単位とグループの変更を検出する方法

Netwrix Auditor for Active Directory

• Netwrix Auditor を実行 → 「Search」に移動 → 選択されていない場合は「Advanced mode」をクリック → 次のフィルターを設定します：
  • フィルター = "データ ソース"
    演算子 = "等しい"
    値 = "Active Directory"
  • フィルター = "オブジェクトの種類"
    演算子 = "等しい"
    値 = "OrganizationalUnit"
  • フィルター = "オブジェクトの種類"
    演算子 = "等しい"
    値 = "Group"
• 「検索」ボタンをクリックし、グループおよび組織単位に加えられた変更内容を確認してください。

組織単位およびグループの変更に関するアラートを作成するには：

• 検索結果から「Tools」へ移動し、→「Create alert」をクリック → 新しいアラートの名前を指定します。
• 「Recipients」タブに切り替え → 「Add Recipient」をクリック → アラートを届けたいメールアドレスを指定します。
• アラートを保存するには「Add」をクリックします。

詳しくはこちら：Netwrix Auditor for Active Directory

ネイティブ監査

1. GPMC.msc を実行（url2open.com/gpmc）→ 新しい GPO を作成して編集 → コンピューターの構成 → ポリシー → Windows の設定 → セキュリティの設定 → ローカル ポリシー → 監査ポリシー：
   • アカウント管理の監査 → 定義 → 成功
   • ディレクトリ サービス アクセスの監査 → 定義 → 成功。
2. 「セキュリティの設定」レベルに戻る → イベント ログ：
   • 最大セキュリティ ログ サイズ → 4GB に設定
   • セキュリティ ログの保持方法 → 必要に応じて、イベントを上書き（Overwrite）するように定義します。
3. 新しい GPO をリンクします："Group Policy Management" に移動 → ドメインまたは OU を右クリック → "Link an Existing GPO" を選択 → 作成した GPO を選択します。
4. グループ ポリシーの更新を強制します："Group Policy Management" で、定義済みの OU を右クリック → "Group Policy Update" をクリックします。
5. ADSI Edit を開く（url2open.com/adsi）→ ADSI Edit を右クリック → Default naming context に接続 → ドメイン名が付いた DomainDNS オブジェクトを右クリック → プロパティ（Properties）→ セキュリティ（Security）（タブ）→ 詳細設定（Advanced）（ボタン）→ 監査（Auditing）（タブ）→ 主体（Add Principal）"Everyone" を追加 → "Success" と入力 → "This object and Descendant objects" に適用 → 権限（Permissions）→ "Full Control" をクリックしてすべてのチェックボックスを選択（ただし、次を除く）：Full Control、List Contents、Read all properties、Read permissions → "OK" をクリック。
6. イベント ビューアーを開き、“Security”ログをフィルターしてイベント ID を探します（Windows Server 2003/2008-2012）：
   • 4727, 4731, 4754, 4759, 4744, 4749 – グループが作成されました
   • 4728, 4732, 4756, 4761, 4746, 4751 – メンバーがグループに追加されました
   • 4729, 4733, 4757, 4762, 4747, 4752 – メンバーがグループから削除されました
   • 4730, 4734, 4758, 4748, 4753, 4763 – グループが削除されました
   • 4735, 4737, 4745, 4750, 4755, 4760 – グループが変更されました
   • 4662 - オブジェクトに対して操作が実行されました（種類：Directory Service Access）。

OU とグループの変更を継続的に監視してシステム停止を回避する

Active Directory の組織単位（OU）に対する意図しない変更や悪意のある変更は、深刻な影響につながる可能性があります。たとえば、ユーザー アカウントを含む Active Directory の OU が削除された場合、ユーザーはログインできなくなり、すでにログインしているユーザーはメール、ファイル サーバー、その他の重要なリソースへのアクセスで問題が発生することがあります。Active Directory のグループの削除も同様の問題を引き起こし得ます。ユーザーは多くの場合、グループ メンバーシップによって重要なアクセス許可を得るためです。これらの問題はすべて、業務のワークフローを混乱させ、生産性を低下させ、ヘルプデスクへの負荷を高めます。

Netwrix Auditor for Active Directory は、Active Directory のグループおよび OU に対して すべての変更 が行われたことを監査でき、 Active Directory オブジェクトを復元 することで、許可されていない変更を迅速に元に戻せます。つまり、意図しない変更や悪意のある変更が発生した場合でも、Netwrix Auditor for Active Directory は、ダウンタイムを発生させることなく、またバックアップから復元する必要もなく、すべての構成設定を以前の状態にすばやく戻します。削除されたユーザーのパスワードも復元できます。言い換えれば、セキュリティ上の脅威を示している可能性のある、Active Directory の OU への変更について、すぐに時計を巻き戻すことができます。