Что означает Event ID 4633 простыми словами?

Событие Event ID 4633 («An attempt was made to access a directory service object») регистрируется на контроллерах домена Active Directory, когда пользователь, компьютер или служба пытается получить доступ к объекту в каталоге AD (например, к учетной записи пользователя, группе, подразделению OU или объекту групповой политики GPO), на котором включен аудит.

Параметры события

Событие 4633 является устаревшим синонимом более современного Event ID 4662 в расширенном аудите Windows.

Настройка и анализ аудита доступа к объектам Active Directory

Аудит доступа к каталогу позволяет точно знать, кто пытался прочитать конфиденциальные свойства пользователей (например, атрибуты с номерами телефонов или конфигурациями BitLocker).

1. Проверка политики аудита доступа к службе каталогов:

   auditpol /get /subcategory:"Directory Service Access"

2. Включение аудита на конкретном объекте AD:
   1. Откройте оснастку dsa.msc (Active Directory Users and Computers).
   2. В меню View включите Advanced Features.
   3. Нажмите правой кнопкой на нужный объект (или OU) -> Свойства (Properties) -> вкладка Security -> Advanced -> вкладка Auditing.
   4. Добавьте правило аудита для группы Everyone на операции чтения или изменения.
3. Поиск попыток несанкционированного доступа (Failure Events):

   Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4633} -ErrorAction SilentlyContinue | Where-Object {$_.LevelDisplayName -eq 'Failure'}