Schritte zur Aktivierung der Überwachung mit der Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC):
Führen Sie die folgenden Aktionen auf dem Domänencontroller (DC) aus:
- Klicken Sie auf Start, suchen Sie nach der Gruppenrichtlinien-Verwaltungskonsole und öffnen Sie sie oder führen Sie den Befehl gpmc.msc aus.
- Klicken Sie mit der rechten Maustaste auf die Domäne oder Organisationseinheit (OU), die Sie überwachen möchten, und klicken Sie auf Gruppenrichtlinienobjekt (GPO) in dieser Domäne erstellen und Hier verknüpfen.... Wenn Sie bereits ein GPO erstellt haben, fahren Sie mit Schritt 4 fort.
- Benennen Sie das GPO.
- Klicken Sie mit der rechten Maustaste auf das GPO und wählen Sie Bearbeiten.
- Navigieren Sie im linken Bereich des Gruppenrichtlinienverwaltungs-Editors zu Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Überwachungsrichtlinie.
- Im rechten Bereich sehen Sie unter Überwachungsrichtlinie eine Liste mit Richtlinien. Doppelklicken Sie auf Überwachung der Kontoverwaltung und aktivieren Sie die Kontrollkästchen neben Diese Richtlinieneinstellungen definieren, Erfolg und Fehler.
- Klicken Sie auf Übernehmen und dann auf OK.
- Kehren Sie zur Gruppenrichtlinien-Verwaltungskonsole zurück, klicken Sie im linken Fensterbereich mit der rechten Maustaste auf die gewünschte OU, mit der die Gruppenrichtlinie verknüpft wurde, und klicken Sie auf Gruppenrichtlinienaktualisierung. Durch diesen Schritt wird sichergestellt, dass die neuen Gruppenrichtlinieneinstellungen sofort angewendet werden, anstatt auf die nächste geplante Aktualisierung zu warten.
Sobald diese Richtlinie aktiviert ist, werden entsprechende Ereignisse unter der Sicherheitsprotokollkategorie des DCs protokolliert, wenn ein Benutzer zur sicherheitsaktivierten Gruppe hinzugefügt wird.
Schritte zum Anzeigen dieser Ereignisse im Event Viewer (Ereignisanzeige)
Sobald die oben genannten Schritte abgeschlossen sind, werden Ereignisse im Ereignisprotokoll gespeichert. Sie können in der Ereignisanzeige angezeigt werden, indem Sie die folgenden Schritte ausführen:
- Drücken Sie auf Start, suchen Sie nach Ereignisanzeige und klicken Sie darauf, um sie zu öffnen.
- Navigieren Sie im linken Bereich des Fensters Ereignisanzeige zu Windows-Protokolle → Sicherheit.
- Hier finden Sie eine Liste aller Sicherheitsereignisse, die im System protokolliert sind.
- Klicken Sie im rechten Fensterbereich unter Sicherheit auf Aktuelles Protokoll filtern.
- Geben Sie im Pop-up-Fenster 4728 in das Feld <Alle Ereignis-IDs> ein.
- Klicken Sie auf OK. Daraufhin wird eine Liste der Vorkommen der Ereignis-ID 4728 angezeigt, die protokolliert wird, wenn ein neuer Benutzer zu einer Sicherheitsgruppe hinzugefügt wird.
- Doppelklicken Sie auf die Ereignis-ID, um ihre Eigenschaften (Beschreibung) anzuzeigen. Suchen Sie in der Beschreibung unter Gruppenname nach Domänenadministratoren.
Der Abschnitt mit der Bezeichnung Betreff zeigt an, wer den neuen Benutzer hinzugefügt hat.
Der Abschnitt mit der Bezeichnung Mitglied zeigt den Namen und die SID des neuen Benutzers an, der der Gruppe hinzugefügt wurde.
Diese Methode ist mühsam, da Sie die Beschreibung jedes Ereignisses anzeigen müssen, um dasjenige zu finden, das sich auf die Gruppe der Domänenadministratoren bezieht.
ADAudit Plus, ein optimiertes AD-Überwachungstool, ermöglicht es Administratoren, mühelos Änderungen der Sicherheitsgruppenmitgliedschaft und andere Gruppenverwaltungsinformationen zu überwachen.
Ermitteln Sie mithilfe von ADAudit Plus, wer einen Benutzer zur Gruppe „Domänenadministratoren“ hinzugefügt hat
- Laden Sie ADAudit Plus herunter und installieren Sie es.
- Konfigurieren Sie die Überwachung auf Ihrem Domänencontroller.
- Öffnen Sie die Konsole und melden Sie sich als Administrator an.
- Navigieren Sie zu Berichte → Active Directory → Gruppenverwaltung → Kürzlich hinzugefügte Mitglieder zu Sicherheitsgruppen.
- Klicken Sie auf das Suchsymbol.
- Geben Sie Domain Admins in das Feld unter GROUP NAME ein und drücken Sie die Eingabetaste.
Überwachen Sie alle AD-Ereignisse und sehen Sie, wer den Benutzer wann und wo zur Gruppe der Domänenadministratoren hinzugefügt hat.
Konfigurieren Sie Warnmeldungen und erhalten Sie Benachrichtigungen per SMS oder E-Mail, wenn ein Benutzerkonto zu einer sicherheitsaktivierten Gruppe hinzugefügt wird.
Vorteile der Verwendung von ADAudit Plus gegenüber der nativen Überwachung:
- Überprüfen Sie alle Änderungen an AD-Objekten (lokal und in Azure) und überwachen Sie die Benutzeraktivität auf Mitgliedsservern und -arbeitsplätzen in Echtzeit.
- Verfolgen Sie die Anmeldeaktivitäten der Benutzer und beheben Sie Kontosperrungen schneller mit dem Account Lockout Analyzer.
- Erkennen Sie Insider-Bedrohungen präzise mit einem UBA-gesteuerten Ansatz für die AD-Überwachung und erhalten Sie Warnmeldungen per SMS oder E-Mail, wenn verdächtige Aktivitäten entdeckt werden.
