Архитектура включения учетных записей в Active Directory

Событие 4722 логируется в журнале Security на контроллере домена или сервере SAM при переводе учетной записи пользователя из отключенного состояния (Disabled) в активное (Enabled). В инфраструктуре информационной безопасности несанкционированная активация учетных записей — критический инцидент: злоумышленники часто активируют ранее заблокированные учетные записи уволенных сотрудников или технические учетные записи для незаметного бокового перемещения (Lateral Movement).

Структура параметров события 4722

Сценарии аудита и реагирования на инциденты безопасности

Сценарий 1: Массовый поиск фактов включения пользователей за последние 14 дней

Быстрая выгрузка всех событий 4722 на контроллере домена через PowerShell.

# Поиск активированных учетных записей и администраторов
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4722; StartTime=(Get-Date).AddDays(-14)} | 
    Select-Object TimeCreated, 
    @{N='EnabledUser';E={$_.Properties[0].Value}}, 
    @{N='TargetSID';E={$_.Properties[2].Value}}, 
    @{N='EnabledBy';E={$_.Properties[4].Value}} | Format-Table -AutoSize

Сценарий 2: Поиск фактов реактивации старых учетных записей уволенных сотрудников

Сопоставьте список активированных пользователей со структурой организационных подразделений (OU) уволенных сотрудников (Disabled Users).

# Проверка, находится ли активированный пользователь в архивном OU
$EnabledUsers = Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4722; StartTime=(Get-Date).AddDays(-7)} | ForEach-Object {$_.Properties[0].Value}
foreach ($User in $EnabledUsers) {
    Get-ADUser -Identity $User -Properties DistinguishedName | Select-Object SamAccountName, DistinguishedName
}

Сценарий 3: Настройка автоматического алерта при активации критических учеток

Используйте триггер в Task Scheduler или SIEM для немедленного оповещения ИБ-службы при включении учетных записей со специальными флагами (например, VIP, Service Accounts).

Типовые ошибки администраторов

• Активация учетной записи без смены пароля: Включение старой учетной записи без принудительной смены пароля оставляет активным скомпрометированный NTLM-хэш, позволяя атакующим использовать старые пароли.