如何检测 Active Directory 中的密码更改

原生审计

1. 运行 GPMC.msc（url2open.com/gpmc）→ 打开“Default Domain Policy”→ Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Audit Policy：
   • 审核帐户管理 → 定义 → 成功和失败。
2. 运行 GPMC.msc → 打开“Default Domain Policy”→ 计算机配置 → 策略 → Windows 设置 → 安全设置 → 事件日志 → 定义：
   • 将安全日志的最大大小设置为 1GB
   • 安全日志的保留方式：按需覆盖事件
3. 打开事件查看器，并在安全日志中搜索事件 ID：628/4724 – 管理员尝试重置密码，627/4723 – 用户尝试更改密码。

Netwrix Auditor for Active Directory

1. 运行 Netwrix Auditor → 进入 “Reports” → 打开 “Active Directory” → 转到 “Active Directory Changes” → 选择 “Password Resets by Administrator” 或 “User Password Changes” → 点击 “View”。
2. 要定期通过电子邮件获取报告，请选择“Subscribe”选项并设置计划和收件人。