Active Directory 그룹 구성원 변경 사항 모니터링 방법

Netwrix Auditor for Active Directory

1. Netwrix Auditor 실행 → “Reports”를 클릭 → “Active Directory”를 엽니다 → “Active Directory Changes”로 이동 → “Security Group Membership Changes”를 선택 → “View”를 클릭합니다.
2. 이 보고서를 정기적으로 이메일로 받고 싶다면, "Subscribe" 옵션을 클릭하고 일정과 수신자를 지정하세요.
3. 보고서를 PDF로 내보내려면 “Save” 버튼을 클릭하고 파일을 저장할 위치를 선택하세요.

네이티브 감사

PowerShell을 사용하여 AD 그룹 멤버십 변경 사항을 모니터링하려면:

1. PowerShell ISE를 엽니다.
2. 다음 스크립트를 복사한 후 PowerShell 코드에서 기간(timeframe)을 조정하고 실행합니다:

      # Get domain controllers list
$DCs = Get-ADDomainController -Filter *

# Define timeframe for report (default is 1 day)
$startDate = (get-date).AddDays(-1)

# Store group membership changes events from the security event logs in an array.
foreach ($DC in $DCs){
$events = Get-Eventlog -LogName Security -ComputerName $DC.Hostname -after $startDate | where {$_.eventID -eq 4728 -or $_.eventID -eq 4729}}

# Loop through each stored event; print all changes to security global group members with when, who, what details.

  foreach ($e in $events){
    # Member Added to Group

    if (($e.EventID -eq 4728 )){
      write-host "Group: "$e.ReplacementStrings[2] "`tAction: Member added `tWhen: "$e.TimeGenerated "`tWho: "$e.ReplacementStrings[6] "`tAccount added: "$e.ReplacementStrings[0]
    }
    # Member Removed from Group
    if (($e.EventID -eq 4729 )) {
      write-host "Group: "$e.ReplacementStrings[2] "`tAction: Member removed `tWhen: "$e.TimeGenerated "`tWho: "$e.ReplacementStrings[6] "`tAccount removed: "$e.ReplacementStrings[0]
    }}
      

자세히 알아보기: Netwrix Auditor for Active Directory

Active Directory 그룹 멤버 자격 변경 사항 감사

모범 사례에서는 사용자를 Active Directory 그룹에 할당하여 액세스 권한을 제어할 것을 권장합니다. 물론 권한 할당은 한 번 설정하고 끝나는 작업이 아닙니다. 도메인 관리자는 각 사용자의 그룹 멤버십이 해당 직무를 수행하는 데 필요한 수준과 정확히 일치하도록 보장해야 하는 끝이 없는 업무를 맡고 있습니다. 이 문제를 해결하는 한 가지 방법은 PowerShell 스크립트를 사용해 Windows 보안 로그를 수집하고 계정의 그룹 멤버십 변경 사항을 추적하는 것입니다. 스크립트를 필요할 때마다 수동으로 실행할 수도 있고, Windows 작업 스케줄러를 사용해 자동으로 실행되도록 설정할 수도 있습니다.

하지만 AD 그룹 구성원 변경 사항을 모니터링하는 훨씬 더 좋은 방법이 있습니다. Netwrix Auditor의 “Security Group Membership Changes” 보고서를 지정한 일정에 따라 메일함으로 자동 전달하거나 Windows Server 파일 공유에 업로드하세요. 이 보고서는 감사 및 조사에 필요한 모든 세부 정보를 읽고 이해하기 쉬운 형식으로 제공합니다.

그룹 구성원 변경 사항을 감사하는 기능은 Netwrix Auditor for Active Directory의 유일한 기능이 아닙니다. 또한 AD 그룹 구성원 상태, 사용자 계정 및 해당 설정, AD 및 그룹 정책 개체(Group Policy objects, GPOs)의 변경, 그리고 대화형 및 비대화형 로그온을 쉽게 검토할 수 있습니다. 어떤 보고서든 PDF 또는 CSV 형식으로 로컬 컴퓨터나 파일 공유로 손쉽게 내보내 추가 검토 및 조사에 활용할 수 있습니다.