Event ID 4744: A local distribution group was created в Active Directory
Что означает Event ID 4744 простыми словами?
Событие Event ID 4744 («A local distribution group was created») регистрируется на контроллерах домена Active Directory при создании новой локальной группы распространения (Distribution Group).
Главное отличие группы распространения от группы безопасности
| Характеристика | Группа безопасности (Security Group) | Группа распространения (Distribution Group) |
|---|---|---|
| Назначение прав на папки | Да (имеет SID для списков контроля доступа ACL) | НЕТ (не может использоваться для раздачи прав) |
| Списки почтовой рассылки | Да | Да (основное предназначение) |
| Событие создания | Event ID 4727 / 4734 | Event ID 4744 |
Группы распространения используются исключительно почтовыми серверами (Microsoft Exchange Server, CommuniGate) для объединения сотрудников в списки рассылки писем.
Как отслеживать создание списков рассылки и управлять ими
Создание несанкционированных групп распространения может использоваться для массовой рассылки спама или фишинговых писем внутри корпоративной сети.
- Поиск информации о создателе группы в журнале безопасности:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4744} | Select-Object TimeCreated, @{N='User';E={$_.Properties[1].Value}}, @{N='GroupName';E={$_.Properties[0].Value}} - Просмотр свойств созданной группы через Active Directory PowerShell:
Get-ADGroup -Identity "Имя_Группы" -Properties mail, GroupCategory, GroupScope - Преобразование группы распространения в группу безопасности (при необходимости):
Set-ADGroup -Identity "Имя_Группы" -GroupCategory Security - Удаление ненужной группы распространения:
Remove-ADGroup -Identity "Имя_Группы" -Confirm:$false
Совет: Если вы планируете использовать группу для раздачи прав на сетевые папки, создавайте сразу Security Group. Группу Distribution невозможно добавить в разрешения NTFS.
Частые вопросы (FAQ)
Какая политика аудита включает генерацию события 4744?
Категория: 'Audit Distribution Group Management' (Аудит управления группами распространения).
Какое событие регистрирует удаление группы распространения?
Удаление локальной группы распространения фиксируется с кодом Event ID 4748.
Может ли группа распространения содержать в себе группы безопасности?
Да, в группу распространения можно вкладывать как отдельных пользователей, так и контакты и группы безопасности.
В чем разница между глобальной и локальной группой распространения?
Локальная группа домена (Domain Local) видна только внутри своего домена, а универсальная (Universal) реплицируется по всем доменам леса через глобальный каталог (Global Catalog).