Что означает событие Event ID 4782?

Событие Event ID 4782 записывается в журнал безопасности, когда приложение, служба или пользователь обращается к защищенному хэшу пароля учетной записи (Password Hash Access).

Опасность для безопасности:

Хэш пароля (NTLM hash) — это секретные криптографические данные, используемые для проверки подлинности. Несанкционированный доступ к хэшам паролей может свидетельствовать о проведении атак типа DCSync, дампе базы NTDS.dit или использовании утилит вроде Mimikatz для перехвата паролей в сети (Pass-the-Hash).

Алгоритм действий при фиксации Event ID 4782

1. Срочно проверьте поле Subject: Account Name и IP-адрес источника.
2. Выясните, выполнялась ли плановая операция резервного копирования контроллера домена или синхронизация паролей через Azure AD Connect (Password Hash Sync).
3. Если источник неизвестен — немедленно изолируйте хост от сети!

# Проверка прав репликации каталога (DCSync) у неадминистративных учетных записей:
Get-ADPermission "DC=domain,DC=com" | Where-Object {
    $_.ActiveDirectoryRights -like "*ExtendedRight*" -and
    ($_.ExtendedRights -like "*Replicating Directory Changes*")
} | Select-Object IdentityReference, ExtendedRights