Active Directory におけるユーザー アカウントの変更を検出する方法

Netwrix Auditor for Active Directory

1. Netwrix Auditorを実行 → 「Reports」に移動 → 「Active Directory」セクションを展開 → 「Active Directory Changes」に移動 → 「User Account Changes」を選択 → 「View」をクリックします。

このレポートをメールで定期的に受け取りたい場合は、単に「Subscribe」オプションを選択し、スケジュールと受信者を定義します。

ネイティブ監査

1. 「Default Domain Controller Security Policy」GPO で監査ポリシーを有効にします。 「Audit user account management」 の監査ポリシーを有効にしてください。
2. イベント ID 4720（ユーザー アカウントの作成）、4722（ユーザー アカウントの有効化）、4725（ユーザー アカウントの無効化）、4726（ユーザー アカウントの削除）、および 4738（ユーザー アカウントの変更）を確認します。
3. ユーザーアカウントを最初に作成するとき、AD はそのアカウントを無効な状態で作成し、いくつかの初期更新を行った後、すぐに有効化します。したがって、新しく作成した各アカウントに関連して、4722 がやや“不正確”に発生しているように常に見えることになります。

詳しくは Netwrix Auditor for Active Directory

ユーザーアカウントの変更を監視して侵入者を素早く検知

コンプライアンスおよびセキュリティ上の考慮から、Active Directory におけるユーザーアカウントの変更を追跡することは非常に重要です。悪意のある活動の兆候となり得る変更には、拡張された権限を持つ大量の新規作成 AD ユーザーアカウント、不活性なユーザーアカウントの大量発生、無効化された、または不審に変更された AD ユーザーアカウント、そして長期間アカウントが非アクティブだったのに突然アクティブになったアカウントなどがあります。こうした変更を継続的に監視することで、IT 担当者が悪意のある活動をタイムリーに検知し、ひいては機密データの漏えいを防ぐことができます。

Netwrix Auditor for Active Directory は、AD ユーザーアカウントの変更を検出し、誰が各変更を行ったのか、そして何が変更されたのかを示す詳細な監査レポートを提供します。Active Directory Change Summary レポートの電子メール購読を行うことで、Active Directory 内のユーザーアカウントに対するすべての変更状況を把握でき、機密データの喪失につながる前に悪意のある改変を見つけるのに役立ちます。場合によっては、Netwrix Auditor がセキュリティをさらに強化することもあります。たとえば、Inactive Users Tracking 機能は非アクティブなユーザーアカウントを自動的に無効化し、侵入者が利用できないようにします。