Event ID 4745: A local distribution group was changed в Active Directory
Что означает Event ID 4745 простыми словами?
Событие Event ID 4745 («A local distribution group was changed») фиксируется на контроллерах домена Active Directory при любой модификации свойств существующей локальной группы распространения.
Какие действия вызывают Event ID 4745:
- Переименование группы (изменение атрибута
sAMAccountNameилиdisplayName). - Изменение почтового адреса рассылки (атрибут
mail). - Изменение описания или заметок о группе.
- Смена области действия группы (Scope) или переключение типа группы.
| Поле события | Значение | Пояснение |
|---|---|---|
| Target / Group Name | Имя измененной группы | Какая группа подверглась правкам |
| Subject / User | Учетная запись | Администратор, внесший изменения |
| Changed Attributes | Список атрибутов | Какие конкретно поля были перезаписаны |
Как расследовать изменения в списках рассылки
Модификация корпоративных групп рассылки (например, добавление внешнего скрытого адреса в список рассылки руководства all-directors@corp.com) — частый вектор корпоративного шпионажа (Business Email Compromise — BEC).
- Поиск события 4745 в журнале контроллера домена:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4745} -MaxEvents 5 | Format-List - Просмотр истории изменений атрибутов группы через PowerShell:
# Получаем информацию о текущих свойствах группы и участниках: Get-ADGroup -Identity "Имя_Группы" -Properties * | Select-Object Name, Mail, Members, Description, WhenChanged - Поиск событий добавления новых участников в группу:
Добавление участника в группу распространения регистрируется парным событием Event ID 4746 (член группы добавлен):
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4746} | Select-Object TimeCreated, Message
Безопасность: Настройте строгий контроль состава участников для публичных групп рассылки. Несанкционированное добавление учетной записи в группу All-Employees позволяет рассылать спам на всю организацию.
Частые вопросы (FAQ)
Какое событие генерируется при добавлении пользователя в группу распространения?
Добавление участника фиксируется событием Event ID 4746, а удаление — Event ID 4747.
Чем Event 4745 отличается от Event 4737?
Event 4737 фиксирует изменение группы безопасности (Security Group), а Event 4745 — изменение группы распространения (Distribution Group).
Можно ли запретить обычным пользователям менять состав групп рассылки?
Да, управляйте правами через вкладку 'Managed By' (Управляется) в свойствах группы в ADUC или отключите право записи в атрибут Member.
Как увидеть, какой именно атрибут изменился в событии 4745?
В подробном XML-виде события (вкладка Details) найдите секцию 'Changed Attributes' со списком старых и новых значений.