조직 단위의 권한을 누가 수정했는지 감지하는 방법

기본 감사

1. gpedit.msc를 실행 → 새 GPO 생성 → 편집: "컴퓨터 구성" → 정책 → Windows 설정 → 보안 설정 → 로컬 정책 → 감사 정책:
   • 디렉터리 서비스 액세스 감사 → 정의 → 성공 및 실패.
2. 이벤트 로그로 이동 → 정의:
   • 보안 로그의 최대 크기를 4GB로 설정
   • 보안 로그의 보관 방법을 "필요에 따라 이벤트를 덮어쓰기"로 설정합니다.
3. 새 GPO를 OU에 연결: "Group Policy Management"로 이동 → 정의한 OU를 마우스 오른쪽 버튼으로 클릭 → "기존 GPO 연결"을 선택 → 생성한 GPO를 선택합니다.
4. 그룹 정책 업데이트를 강제로 수행합니다. "Group Policy Management"에서 지정한 OU를 마우스 오른쪽 버튼으로 클릭 → "Group Policy Update"를 클릭합니다.
5. ADSI Edit 열기 → 기본 명명 컨텍스트(Default naming context)에 연결 → 내 도메인 이름을 가진 domainDNS 개체를 마우스 오른쪽 버튼으로 클릭 → 속성(Properties) → 보안(Security) → 고급(Advanced) → 감사(Auditing) → 보안 주체(Principal) "Everyone" 추가 → 유형(Type) "Success" → "This object and descendant objects"에 적용 → 권한(Permissions) → 아래 항목을 제외한 모든 확인란을 선택한 다음 "OK"를 클릭합니다:
   • 전체 제어(Full Control)
   • 목록 내용(List Contents)
   • 모든 속성 읽기(Read all properties)
   • 읽기 권한.
6. 이벤트 뷰어를 열고 → 이벤트 ID 5136에 대한 보안 로그를 검색합니다(디렉터리 서비스 개체가 수정됨).
   그런 다음 보안 설명자 목록과 함께 어떤 OU에 대해 누가 권한을 수정했는지 확인할 수 있습니다.

Netwrix Auditor for Active Directory

1. Netwrix Auditor를 실행 → "Reports"를 클릭 → Active Directory로 이동 → Active Directory Changes → "Organizational Unit Changes"를 선택 → "View"를 클릭합니다.
2. 보고서를 저장하려면 "Export button" → PDF → 다른 이름으로 저장 → 저장할 위치를 선택합니다.