Архитектура машинных учетных записей (Computer Accounts)

Событие 4742 логируется в журнале Security на контроллерах домена, когда в Active Directory изменяются атрибуты учетной записи компьютера (Computer Account, например SERVER01$). Подобно событию >4738 для пользователей, это событие фиксирует смену пароля машины, обновление SPN (Service Principal Name) или изменение критических прав делегирования. Для ИБ это важнейший маркер компрометации серверов и атак на протокол Kerberos.

Критические атрибуты в событии 4742

Пошаговое дерево решений (Threat Hunting и Аудит)

Сценарий 1: Атака RBCD (Resource-Based Constrained Delegation)

Самая смертоносная атака на Active Directory. Если хакер имеет права на изменение компьютерного объекта в AD (например, он взломал оператора HelpDesk), он изменяет атрибут msDS-AllowedToDelegateTo, разрешая своему контролируемому фейковому ПК делегировать учетные данные на целевой сервер. Это дает ему полные права SYSTEM на целевом сервере без знания паролей локальных админов.

# Ищем модификации атрибута msDS-AllowedToDelegateTo
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4742; StartTime=(Get-Date).AddDays(-7)} | 
    Where-Object {$_.Properties[18].Value -notmatch '-'} | 
    Select-Object TimeCreated, 
    @{N='TargetComputer';E={$_.Properties[0].Value}}, 
    @{N='AdminWhoChanged';E={$_.Properties[4].Value}} | Format-Table -AutoSize

Сценарий 2: Фильтрация системного спама (Смена пароля ПК)

Политики домена обязывают компьютеры менять свой внутренний пароль (Machine Password) каждые 30 дней. Когда ПК сам меняет свой пароль, ядро AD генерирует 4742, где субъектом (SubjectUser) является сама машина (SERVER01$). Это штатный "белый шум". Настраивайте SIEM так, чтобы игнорировать 4742, если SubjectUser совпадает с TargetAccount.

Сценарий 3: Защита SPN (Kerberoasting)

Если в поле Service Principal Names появились строки TERMSRV/... или WSMAN/... от имени обычного пользователя (не SYSTEM), это признак того, что инсайдер настраивает компьютер для удаленного скрытого управления (WinRM/RDP). Проверяйте, были ли заявки на настройку этого сервера.

Типовые ошибки администраторов

• Отказ от мониторинга Computer Accounts: Сисадмины часто следят только за учетками людей (Users), забывая, что компрометация машинной учетки (особенно контроллера домена DC01$) дает хакеру права Enterprise Admin. Компьютеры — это такие же объекты безопасности с паролями и TGT-билетами.