Como Detectar Quem Excluiu uma Conta de Usuário no Active Directory

Netwrix Auditor for Active Directory

1. Execute o Netwrix Auditor → Acesse "Pesquisa" → Clique em "Modo avançado" se não estiver selecionado → Configure os filtros a seguir:
   • Filter = "Fonte de dados"
     Operator = "Igual a"
     Value = "Active Directory"
   • Filter = "Tipo de objeto"
     Operator = "Igual a"
     Value = "Usuário"
   • Filter = "Ação"
     Operator = "Igual a"
     Value = "Removido"
2. Clique no botão "Pesquisar" e revise quem excluiu contas de usuário.

Auditoria Nativa

1. Execute GPMC.msc → abra a “Política de Domínio Padrão” → Configuração do Computador → Políticas → Configurações do Windows → Configurações de Segurança:
   • Políticas Locais → Política de Auditoria → Auditoria de gerenciamento de contas → Definir → Sucesso
   • Log de Eventos → Definir → Tamanho máximo do log de segurança para 1gb e Método de retenção do log de segurança para Sobrescrever eventos conforme necessário.
2. Abra o ADSI Edit → Conecte-se ao contexto de nomeação padrão → clique com o botão direito em “DC=nome do domínio” → Propriedades → Segurança (Aba) → Avançado → Auditoria (Aba) → Clique em “Adicionar” → Escolha as seguintes configurações:
   • Principal: Todos
   • Tipo: Sucesso
   • Aplica-se a: Este objeto e todos os objetos descendentes
   • Permissões: Excluir todos os objetos filhos → Clique em “OK”.
3. Para definir qual conta de usuário foi excluída e quem a excluiu, filtre o Log de Eventos de Segurança pelo ID de Evento 4726.

Saiba mais sobre Netwrix Auditor for Active Directory

Detectar e investigar exclusões de contas de usuário para evitar indisponibilidade do sistema

Quando alguém exclui contas de usuário, esses usuários não poderão fazer login nos sistemas de TI usando autenticação de domínio de qualquer computador dentro da organização. Se você excluir uma conta de usuário enquanto o usuário estiver logado, o usuário perderá acesso ao email, SharePoint, SQL Server, pastas compartilhadas e outros sistemas. Portanto, é essencial monitorar as exclusões de contas e determinar rapidamente quem excluiu uma conta de usuário, para que você possa rapidamente restaurar qualquer conta excluída indevidamente para minimizar o risco de interrupção dos negócios e indisponibilidade do sistema. 

Netwrix Auditor for Active Directory oferece análises de segurança sobre o que está acontecendo no Active Directory e na Política de Grupo. Ele permite que você acompanhe toda a atividade no Active Directory, incluindo quando alguém excluiu uma conta de usuário. Também automatiza tarefas de relatórios ao permitir que profissionais de TI se inscrevam em relatórios predefinidos que são entregues por e-mail, mantendo-os informados sobre quem excluiu qualquer conta, e onde e quando isso foi feito. Eles também podem gerar relatórios personalizados usando a Pesquisa Interativa para detectar e investigar atividades suspeitas, e salvar seus critérios de pesquisa para uso posterior.