如何检测 Active Directory 中 OU 和组的更改

对 Active Directory 中的组织单位 (OU) 和组的意外或恶意更改可能会给 IT 管理员带来麻烦。例如，如果删除包含“用户帐户”的 OU，用户将无法登录。可能有多种这样的情况......

本操作指南将向您展示两种检测 Active Directory 中 OU 和组更改的方法，并帮助您及时响应不需要的更改。

本机审核工具

1. 运行 GPMC.msc (url2open.com/gpmc) -> 创建新的 GPO 并编辑它 -> 计算机配置 -> 策略 -> Windows 设置 -> 安全设置 -> 本地策略 -> 审核策略：

   • 审核帐户管理 -> 定义 -> 成功
   • 审核目录服务访问 -> 定义 -> 成功。
     <小时>

2. 返回安全设置级别 -> 事件日志：

   • 最大安全日志大小 -> 定义为 4GB
   • 安全日志的保留方法 -> 定义为根据需要覆盖事件。
     <小时>
3. 链接新 GPO：转到“组策略管理”-> 右键单击域或 OU -> 选择链接现有 GPO -> 选择您创建的 GPO。
   <小时>
4. 强制更新组策略：在“组策略管理”中右键单击定义的 OU -> 点击“组策略更新”。
   <小时>
5. 打开 ADSI 编辑器 (url2open.com/adsi) -> 右键单击 ADSI 编辑器 -> 连接到默认命名上下文 -> 右键单击包含您的域名称的 DomainDNS 对象 -> 属性 -> 安全性（选项卡） -> 高级（按钮）-> 审核（选项卡）-> 添加主体“所有人”-> 输入“成功”-> 适用于“此对象和后代对象”-> 权限 -> 通过单击“完全控制”选择所有复选框，除了以下选项：完全控制、列出内容、读取所有属性、读取权限 -> 点击“确定”。
   <小时>

6. 打开事件查看器并过滤安全日志以查找事件 ID (Windows Server 2003/2008-2012)：

   • 4727、4731、4754、4759、4744、4749 - 已创建组
   • 4728、4732、4756、4761、4746、4751 - 成员已添加到群组
   • 4729、4733、4757、4762、4747、4752 - 从群组中删除成员
   • 4730、4734、4758、4748、4753、4763 - 组已删除
   • 4735、4737、4745、4750、4755、4760 - 组已更改
   • 4662 - 对对象执行了操作（类型：目录服务访问）。

Netwrix AD 审核器

Netwrix Auditor for Active Directory 可以审核对 Active Directory 中的组和 OU 所做的所有更改，并且可以通过恢复 Active Directory 对象来快速撤消未经授权的修改。

运行 Netwrix Auditor -> 单击“搜索” -> 选择“高级” -> 设置以下过滤器：

• 审核系统=Active Directory
• 对象类型=组
• 对象类型=组织单位。
  然后单击“修改”和“搜索”。