Архитектура аудита состава групп безопасности

Событие 4799 генерируется в журнале Security операционной системы Windows при обращении процесса к списку участников конкретной локальной группы безопасности (функции API NetLocalGroupGetMembers или вызовы RPC SAMR). В процессе аудита безопасности это событие позволяет отслеживать активность по исследованию привилегий (Discovery/Enumeration). Если злоумышленник получил доступ к рядовому серверу, опрос состава группы Builtin\Administrators — обязательный шаг для понимания структуры управления инфраструктурой.

Структура параметров события 4799:

Сценарии аудита и ограничения разведывательных запросов

Сценарий 1: Обнаружение команд ручного аудита состава администраторов

Фильтрация событий 4799, где целевой группой выступает группа локальных администраторов.

# Поиск событий перечисления состава группы Administrators
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4799; StartTime=(Get-Date).AddDays(-7)} | 
    Where-Object {$_.Properties[2].Value -match 'S-1-5-32-544'} | 
    Select-Object TimeCreated, 
    @{N='Caller';E={$_.Properties[4].Value}}, 
    @{N='Process';E={$_.Properties[8].Value}}, 
    @{N='Group';E={$_.Properties[0].Value}} | Format-Table -AutoSize

Сценарий 2: Аудит активности учетных записей HelpDesk

Проверьте, не злоупотребляют ли сотрудники первой линии поддержки массовым сканированием групп безопасности на серверах компании.

# Статистика вызовов 4799 по учетным записям за последние 24 часа
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4799; StartTime=(Get-Date).AddDays(-1)} | 
    Group-Object {$_.Properties[4].Value} | Select-Object Name, Count | Sort-Object Count -Descending

Сценарий 3: Защита интерфейса SAM через локальные политики

Ограничьте права на удаленное перечисление через настройку реестра RestrictRemoteSAM.

1. Откройте regedit на целевом сервере.
2. Перейдите к: HKLM\SYSTEM\CurrentControlSet\Control\Lsa.
3. Убедитесь в наличии параметра RestrictRemoteSAM с корректным дескриптором безопасности (SDDL), запрещающим вызовы неавторизованным удаленным клиентам.

Типовые ошибки администраторов

• Чрезмерный объем логов при включении аудита на файл-серверах: На серверах с общими папками служба LanmanServer периодически сверяет членство пользователей в локальных группах доступа, генерируя тысячи событий 4799 в сутки. Настраивайте фильтры в SIEM для исключения легитимных системных процессов.