Active Directory でユーザー アカウントを削除したのが誰かを検出する方法

Netwrix Auditor for Active Directory

1. Netwrix Auditor を実行 →「Search」に移動 → 選択されていない場合は「Advanced mode」をクリック → 次のフィルターを設定します：
   • フィルター = "Data source"
     演算子 = "Equals"
     値 = "Active Directory"
   • フィルター = "Object type"
     演算子 = "Equals"
     値 = "User"
   • フィルター = "Action"
     演算子 = "Equals"
     値 = "Removed"
2. 「Search」ボタンをクリックし、ユーザーアカウントを削除したのが誰かを確認します。

---

ネイティブ監査

1. GPMC.msc を実行 → 「Default Domain Policy（既定のドメイン ポリシー）」を開く → コンピューターの構成 → ポリシー → Windows の設定 → セキュリティの設定：
   • ローカル ポリシー → 監査ポリシー → アカウント管理の監査 → 定義 → 成功
   • イベント ログ → 定義 → セキュリティ ログの最大ログ サイズを 1GB に設定し、セキュリティ ログの保持方法を必要に応じてイベントを上書きにします。
2. ADSI Edit を開く → 標準の命名コンテキストに接続 → 「DC=domain name」を右クリック → プロパティ → セキュリティ（タブ）→ 詳細設定 → 監査（タブ）→ 「追加」をクリック → 次の設定を選択します：
   • プリンシパル：Everyone
   • 種類：成功
   • 適用対象：このオブジェクトおよびすべての子孫オブジェクト
   • 権限：すべての子オブジェクトを削除 → 「OK」をクリックします。
3. 削除されたユーザー アカウントが何で、誰が削除したのかを特定するには、セキュリティ イベント ログをイベント ID 4726 でフィルターします。

詳しくはこちら：Netwrix Auditor for Active Directory

---

ユーザーアカウントの削除を検出・調査して、システムの利用不可を回避する

誰かがユーザーアカウントを削除すると、当該ユーザーは組織内のどのコンピューターからでもドメイン認証を使って IT システムにログインできなくなります。ユーザーがログインしている最中にユーザーアカウントを削除すると、そのユーザーはメール、SharePoint、SQL Server、共有フォルダーやその他のシステムへのアクセスを失います。したがって、アカウント削除を監視し、誰がユーザーアカウントを削除したのかをすぐに特定できるようにすることが不可欠です。これにより 誤って削除されたアカウントをすぐに復元して、業務の中断やシステムの利用不可のリスクを最小限に抑えられます。

Netwrix Auditor for Active Directory は、Active Directory と Group Policy で何が起きているのかについてのセキュリティ分析情報を提供します。これにより すべてのアクティビティを追跡できます。ユーザーアカウントが削除された場合も含まれます。さらに レポート作成を自動化 することで、IT 担当者が電子メールで配信される事前定義済みのレポートを購読でき、誰がどのアカウントを削除したのか、そして削除が「どこで」「いつ」実行されたのかを常に把握できます。また、Interactive Search を使って不審なアクティビティを検出・調査するためのカスタムレポートを作成でき、検索条件を保存して後から再利用することも可能です。