Архитектура глобальных групп и контроль привилегий

Событие 4728 фиксируется в журнале Security контроллера домена при добавлении пользователя, компьютера или другой группы в Глобальную группу безопасности (Global Security Group). В доменной среде Active Directory глобальные группы (например, Domain Admins, Enterprise Admins) обладают широкими полномочиями. Несанкционированное добавление учетной записи в такие группы — классический признак эскалации привилегий (Privilege Escalation).

Структура параметров события 4728

Сценарии аудита и контроля членства в привилегированных группах

Сценарий 1: Немедленный поиск добавлений в группу Domain Admins

Мониторинг журнала безопасности на предмет включения новых администраторов домена.

# Поиск добавления пользователей в группу Domain Admins за последние 24 часа
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4728; StartTime=(Get-Date).AddDays(-1)} | 
    Where-Object {$_.Properties[2].Value -like '*Domain Admins*'} | 
    Select-Object TimeCreated, 
    @{N='AddedUser';E={$_.Properties[0].Value}}, 
    @{N='TargetGroup';E={$_.Properties[2].Value}}, 
    @{N='PerformedBy';E={$_.Properties[6].Value}}

Сценарий 2: Настройка Restricted Groups (Ограниченные группы) через GPO

Чтобы исключить несанкционированное ручное добавление пользователей в критические группы, зафиксируйте их состав через Group Policy.

1. Откройте редактор GPMC (gpmc.msc).
2. Перейдите: Конфигурация компьютера -> Политики -> Параметры Windows -> Параметры безопасности -> Ограниченные группы (Restricted Groups).
3. Добавьте группу Domain Admins и укажите строго утвержденный список учетных записей. Любой посторонний пользователь будет автоматически исключен при обновлении политики gpupdate.

Сценарий 3: Настройка автоматического оповещения через Event Viewer / WMI

Привяжите выполнение скрипта отправки email/Telegram к триггеру события 4728 в Task Scheduler, чтобы дежурный администратор мгновенно получал уведомление о любых изменениях в критических группах.

Типовые ошибки администраторов

• Путаница типов групп: Для локальных групп домена (Domain Local) генерируется событие >4732, для универсальных (Universal) — 4756, а для глобальных — 4728. Мониторинг только одного Event ID оставляет слепые зоны в аудите безопасности.