Область группы и условия аудита
Определите группу и владельца её состояния. 4732 относится к security-enabled local group, а не ко всем добавлениям в AD. Локальная группа компьютера и доменная локальная группа имеют разные области; сохраняйте роль узла, TargetDomainName и SID. Нужны успехи Audit Security Group Management. Пример использует схему события версии 0. Настройки здесь не меняются. Историческое отсутствие аудита нельзя исправить задним числом текущим включением политики.
Отбор по источнику и времени
Выберите точные Provider, Security, ID 4732 и UTC-период. Разбирайте EventData по Name. Начинайте с SID группы и узла, затем уточняйте MemberSid; переведённое отображаемое имя может не совпасть с названием в другой системе. На каждого добавленного участника формируется отдельная запись, поэтому не сворачивайте строки до проверки состава. Сохраняйте параметры запроса и исходный XML. Одинаковое нормализованное поле user в разных SIEM не гарантирует, что оно представляет одну и ту же роль.
Три роли примера
Subject operator.demo запрашивает изменение. MemberSid — добавленный объект. TargetSid S-1-5-32-544 — группа назначения. MemberName равен «-»; это не отменяет участника и не разрешает заменить его именем Subject. Уточняйте объект по SID и доступному состоянию каталога, сохраняя исходное значение. TargetUserName относится к группе, а не к созданной учётной записи. Пример не показывает использования прав и не устанавливает человека за запросом. Имена/SID учебные, а не реальные данные владельца устройства.
Проверка авторства и группы
Найдите сеанс Subject на том же узле и сравните SID/время. Если изменение пришло от системы управления, запросите её журнал и связь с одобренной операцией. Текущее разрешение SID помогает, но не заменяет историческую запись после переименования или удаления объекта. Определите тип участника и существенное вложенное членство, когда оно влияет на исследуемый доступ. Одно имя группы на разных компьютерах не означает единую группу. Для персональной атрибуции недостаточно технической identity и ближайшего по времени интерактивного входа.
Следующий шаг: фактический доступ
Сравните изменение с ожидаемым составом, ролью группы и правами конкретного ресурса. Членство и использование полномочия — разные свидетельства. Для последнего нужны подходящие последующие действия в контексте доступа. Проверьте, не было ли удаления участника или другого изменения, сохранив последовательность. Итог должен назвать инициатора как учётную запись, Member, Target, область и результат добавления. Нельзя расширять этот результат до утверждения, что участник выполнил все доступные администраторам действия.
Если подходящей записи нет
Сначала проверьте тип группы: для других областей используются иные номера событий. Затем уточните владельца состояния, узел/DC, аудит успехов в нужный момент, UTC, ротацию и доставку. Поиск по имени замените известным SID в той же области. Если членство сейчас подтверждено, а историческое добавление не найдено, разделите эти факты: текущее состояние не восстанавливает автора и дату. Запрос владельцу каталога должен указывать группу, SID участника, период и недостающий тип подтверждения.