Wie man herausfindet, wer ein Computerkonto in Active Directory gelöscht hat

Schritte, um mithilfe von PowerShell herauszufinden, wer Computerkonten gelöscht hat:

Führen Sie die folgenden Aktionen auf dem Domänencontroller (DC) aus:

1. Klicken Sie auf Start, suchen Sie nach Windows PowerShell, klicken Sie mit der rechten Maustaste darauf und wählen Sie Als Administrator ausführen aus.
2. Geben Sie das folgende Skript in die Konsole ein:

Get-EventLog -LogName Security | Where-Object {$_.EventID -eq 4743} | Select-Object -Property *


3. Drücken Sie die Eingabetaste.
4. Dieses Skript zeigt gelöschte Benutzerkonten an. In der Ausgabe finden Sie unter Meldung → Betreff → Account Name den Namen und die Sicherheits-ID des Benutzers, der die Löschung auf dem Zielcomputerkonto durchgeführt hat.

Hinweis: Wenn Sie eine Arbeitsstation verwenden, sollte das folgende Skript in PowerShell ausgeführt werden:

Get-EventLog -LogName Security -ComputerName <DC-Name>| Where-Object {$_.EventID -eq 4743} | Select-Object -Property *

wobei <DC-Name> der Name des Domänencontrollers ist, auf dem Sie die Details der erfolgten Löschung überprüfen möchten.

Durch die systemeigene Überwachung können Sie nach Ereignissen suchen, um Objektlöschungen im Auge zu behalten. Dies wird jedoch unpraktisch, wenn Sie mit Tausenden von Computerkonten arbeiten und jedes Ereignis nachverfolgen müssen, sobald es auftritt.

Der oben beschriebene Prozess kann durch die Verwendung von ADAudit Plus, einer Echtzeit-Auditing-Software für Active Directory, vereinfacht werden. ADAudit Plus liefert detaillierte Informationen darüber, wer was, wann und von wo aus gelöscht hat, und zwar für jedes AD-Änderungsereignis, das in Ihrer Organisation stattfindet, einschließlich der Computerverwaltung.