Архитектура удаления групп безопасности в Active Directory

Событие 4730 логируется в журнале Security на контроллере домена при удалении Глобальной группы безопасности (Global Security Group). Симптомы: множество сотрудников одновременно теряют доступ к сетевым дискам, корпоративным порталам, базам данных или VPN-подключениям, в которых эта группа использовалась в списках контроля доступа (ACL). Анализ события 4730 позволяет оперативно установить администратора или процесс, выполнивший удаление.

Параметры события Event ID 4730

Сценарии аудита и восстановления удаленных групп

Сценарий 1: Восстановление удаленной группы через AD Recycle Bin

Если в лесу Active Directory активирована корзина, восстановите группу с сохранением ее уникального SID.

# Поиск и восстановление недавно удаленной группы безопасности по имени
Get-ADObject -Filter 'isDeleted -eq $true -and name -eq "GG_Sales_Department"' -IncludeDeletedObjects | 
    Restore-ADObject

Сценарий 2: Расследование удаления группы через PowerShell

Поиск контроллера домена и учетной записи, выполнившей удаление группы за последние 7 дней.

# Поиск событий 4730 на контроллере домена
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4730; StartTime=(Get-Date).AddDays(-7)} | 
    Select-Object TimeCreated, 
    @{N='DeletedGroup';E={$_.Properties[0].Value}}, 
    @{N='GroupSID';E={$_.Properties[2].Value}}, 
    @{N='DeletedBy';E={$_.Properties[4].Value}} | Format-Table -AutoSize

Сценарий 3: Защита критических групп безопасности от случайного удаления

Установите системный флаг защиты от случайного удаления на уровне каталога AD.

# Включение защиты от случайного удаления для целевой группы
Set-ADGroup -Identity "GG_IT_Engineers" -ProtectedFromAccidentalDeletion $true

Типовые ошибки администраторов

• Ручное пересоздание группы с тем же именем: Создание новой группы с идентичным именем присваивает ей НОВЫЙ SID. Все ранее настроенные права на файлы, папки NTFS и базы данных останутся недействительными (будут отображаться как неразрешенные SID). Группу необходимо строго восстанавливать через Recycle Bin или бэкап System State.