Архитектура универсальных групп AD (Universal Groups)

Событие 4756 регистрируется на контроллерах домена в журнале Security, когда в Универсальную группу безопасности добавляется новый участник. В отличие от Глобальных групп (>4728), членство в Универсальных группах реплицируется по всему лесу (Forest) через Глобальный Каталог (Global Catalog).

Критические универсальные группы (Forest-Level)

Это событие — главный маркер эскалации привилегий на уровень Всего леса Active Directory (Tier 0). Самые опасные группы, попадающие под аудит 4756:

• Enterprise Admins (Администраторы предприятия): Полный контроль над ВСЕМИ доменами в текущем лесу AD.
• Schema Admins (Администраторы схемы): Право вносить необратимые структурные изменения в базу данных леса (NTDS.dit).

Пошаговое дерево решений (Мониторинг Tier 0)

Сценарий 1: Аудит выдачи прав Enterprise Admins (SIEM)

Добавление пользователя в Enterprise Admins должно происходить исключительно редко (буквально пару раз в год) для выполнения конкретных задач (например, установка нового Exchange Server). Любое появление 4756 для этой группы без заявки — это компрометация всего бизнеса.

# Ищем добавление пользователей в Enterprise и Schema Admins
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4756; StartTime=(Get-Date).AddDays(-30)} | 
    Where-Object {$_.Properties[2].Value -match 'Enterprise Admins|Schema Admins'} | 
    Select-Object TimeCreated, 
    @{N='AddedUser';E={$_.Properties[0].Value}}, 
    @{N='AdminWhoAdded';E={$_.Properties[6].Value}} | Format-Table -AutoSize

Сценарий 2: Расследование 'Тихой' компрометации (Evasion)

Хакеры (через эксплойты вроде PrintNightmare или Kerberoasting) добавляют свои УЗ в универсальные группы, выполняют нужные действия (например, выгружают билеты KRBTGT со всех доменов леса) и немедленно удаляют себя, генерируя парное событие 4757 (Member Removed).

• Решение: Настройте в SIEM правило корреляции. Если разница во времени между 4756 и 4757 для одного пользователя составляет менее 1 часа — поднять тревогу (Alert: Short-Lived Privileged Group Membership).

Типовые ошибки администраторов

• Постоянное нахождение в Enterprise Admins: Администраторы часто оставляют свои личные 'повседневные' админские учетки в группе Enterprise Admins на постоянной основе. Если такую УЗ скомпрометируют (Pass-the-Hash), хакер мгновенно зашифрует ВСЕ домены в лесу. Для повседневной работы достаточно прав Domain Admins в конкретном домене (Событие 4728).