如何判断哪个用户或进程创建或禁用了 AD 用户或组？

Question

从 Windows Active Directory 用户和组中。我可以看到用户或组的修改时间。从系统内部，我还可以看到它的创建时间。有没有办法知道哪个用户创建了该对象，或者哪个用户或进程实际上禁用了它？

在这个特殊的案例中，它是在一年多以前创建的，最后一次修改是在几周前。

Answer 1

您需要在安全设置中启用审计日志记录并扫描事件

• 4732：已将成员添加到启用安全的本地组。
• 4720：已创建用户帐户。
• 4738：用户帐户已更改4738(S): A user account was modified

主题* 键会告诉您请求更改的帐户。

还有一些事件日志需要您查看，我不会在这里列出它们。您可以在此处找到完整列表：

• https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-user-account-management
• https://docs.microsoft.com/en-us/windows/security/threat-protection/auditing/audit-security-group-management