Windows Security 5136 — изменён атрибут объекта AD

Поля и область применения

Примеры записей

Данные в примерах условные. Состав полей зависит от версии и настроек источника.

5136 v0: прежнее значение удалено

Фрагмент журнала. Сокращённый XML: документированные имена полей, вымышленные узел/время/SID/значения. Часть служебных полей полной записи опущена.

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"/>
    <EventID>5136</EventID><Version>0</Version>
    <TimeCreated SystemTime="2026-11-03T10:15:00.001Z"/>
    <EventRecordID>8101</EventRecordID><Channel>Security</Channel>
    <Computer>dc-lab-01.lab.example.test</Computer>
  </System>
  <EventData>
    <Data Name="OpCorrelationID">{22222222-2222-4222-8222-222222222222}</Data>
    <Data Name="AppCorrelationID">-</Data>
    <Data Name="SubjectUserSid">S-1-5-21-111-222-333-1101</Data>
    <Data Name="SubjectUserName">operator.demo</Data>
    <Data Name="SubjectDomainName">LAB</Data>
    <Data Name="SubjectLogonId">0x9b72</Data>
    <Data Name="DSName">lab.example.test</Data>
    <Data Name="ObjectDN">CN=analyst.demo,OU=Lab,DC=lab,DC=example,DC=test</Data>
    <Data Name="ObjectGUID">{11111111-1111-4111-8111-111111111111}</Data>
    <Data Name="ObjectClass">user</Data>
    <Data Name="AttributeLDAPDisplayName">description</Data>
    <Data Name="AttributeSyntaxOID">2.5.5.12</Data>
    <Data Name="AttributeValue">lab-before</Data>
    <Data Name="OperationType">%%14675</Data>
  </EventData>
</Event>

5136 v0: новое значение добавлено

Фрагмент журнала. Сокращённый XML: документированные имена полей, вымышленные узел/время/SID/значения. Часть служебных полей полной записи опущена.

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"/>
    <EventID>5136</EventID><Version>0</Version>
    <TimeCreated SystemTime="2026-11-03T10:15:00.002Z"/>
    <EventRecordID>8102</EventRecordID><Channel>Security</Channel>
    <Computer>dc-lab-01.lab.example.test</Computer>
  </System>
  <EventData>
    <Data Name="OpCorrelationID">{22222222-2222-4222-8222-222222222222}</Data>
    <Data Name="AppCorrelationID">-</Data>
    <Data Name="SubjectUserSid">S-1-5-21-111-222-333-1101</Data>
    <Data Name="SubjectUserName">operator.demo</Data>
    <Data Name="SubjectDomainName">LAB</Data>
    <Data Name="SubjectLogonId">0x9b72</Data>
    <Data Name="DSName">lab.example.test</Data>
    <Data Name="ObjectDN">CN=analyst.demo,OU=Lab,DC=lab,DC=example,DC=test</Data>
    <Data Name="ObjectGUID">{11111111-1111-4111-8111-111111111111}</Data>
    <Data Name="ObjectClass">user</Data>
    <Data Name="AttributeLDAPDisplayName">description</Data>
    <Data Name="AttributeSyntaxOID">2.5.5.12</Data>
    <Data Name="AttributeValue">lab-after</Data>
    <Data Name="OperationType">%%14674</Data>
  </EventData>
</Event>

Команды и способы проверки

Укажите свой узел, путь к журналу и временной интервал. Требуемая среда указана рядом с командой.

PowerShell / Windows Event Log, чтение локального Security. Заменить учебное UTC-окно и выбрать нужный узел. Документация Get-WinEvent: PowerShell 7.5.

$referenceStartUtc = [DateTimeOffset]::Parse('2026-11-03T09:00:00Z').UtcDateTime
$referenceEndUtc = [DateTimeOffset]::Parse('2026-11-03T11:00:00Z').UtcDateTime
Get-WinEvent -FilterHashtable @{
  LogName='Security'
  ProviderName='Microsoft-Windows-Security-Auditing'
  Id=5136
  StartTime=$referenceStartUtc
  EndTime=$referenceEndUtc
} | ForEach-Object {
  $referenceEvent = $_
  [xml]$referenceXml = $referenceEvent.ToXml()
  $referenceNs = [System.Xml.XmlNamespaceManager]::new($referenceXml.NameTable)
  $referenceNs.AddNamespace('e','http://schemas.microsoft.com/win/2004/08/events/event')
  $referenceData = @{}
  foreach ($referenceNode in $referenceXml.SelectNodes('/e:Event/e:EventData/e:Data',$referenceNs)) {
    $referenceData[$referenceNode.GetAttribute('Name')] = $referenceNode.InnerText
  }
  [pscustomobject]@{
    TimeCreatedUtc = $referenceEvent.TimeCreated.ToUniversalTime().ToString('o')
    Computer = $referenceEvent.MachineName
    Provider = $referenceEvent.ProviderName
    EventId = $referenceEvent.Id
    RecordId = $referenceEvent.RecordId
    Version = $referenceXml.SelectSingleNode('/e:Event/e:System/e:Version',$referenceNs).InnerText
    SubjectUserSid = $referenceData['SubjectUserSid']
    SubjectLogonId = $referenceData['SubjectLogonId']
    ObjectGUID = $referenceData['ObjectGUID']
    ObjectDN = $referenceData['ObjectDN']
    ObjectClass = $referenceData['ObjectClass']
    AttributeLDAPDisplayName = $referenceData['AttributeLDAPDisplayName']
    AttributeValue = $referenceData['AttributeValue']
    OperationType = $referenceData['OperationType']
    OpCorrelationID = $referenceData['OpCorrelationID']
    AppCorrelationID = $referenceData['AppCorrelationID']
  }
}

Windows auditpol, только чтение текущих подкатегорий; не восстановление исторической политики

auditpol /get /subcategory:* /r

Первоисточники

• Microsoft: 5136 — Изменён объект AD
• Microsoft: Get-WinEvent
• auditpol get — чтение политики
• EventLogRecord.ToXml
• XmlNode.SelectNodes и пространства имён
• Audit Directory Service Changes

Связанные материалы

• Windows Security 4624 — создан успешный сеанс входа

  Для контекста инициатора искать соответствующий вход на том же DC и в том же периоде; LogonId не является глобальным ключом.

• Не удаётся войти: маршрут проверки AD и Keycloak

  При жалобе на вход или доступ разделить изменение объекта/прав, проверку identity и фактический результат приложения.