ค้นหาเว็บไซต์

วิธีตรวจหาการเปลี่ยนแปลงใน OU และกลุ่มใน Active Directory

การเปลี่ยนแปลงหน่วยองค์กร (OU) และกลุ่มใน Active Directory โดยไม่ได้ตั้งใจหรือเป็นอันตราย แทบจะหลีกเลี่ยงไม่ได้ที่จะนำไปสู่ปัญหาสำหรับแผนกไอที นี่คือตัวอย่างบางส่วนที่พบบ่อยที่สุด:

  • หาก OU ที่มี "บัญชีผู้ใช้" ถูกลบ ผู้ใช้จะไม่สามารถเข้าสู่ระบบหรือประสบปัญหาในการเข้าถึงบริการด้านไอที เช่น อีเมล Messenger SharePoint ฯลฯ
  • การลบ OU ที่มี "บัญชีคอมพิวเตอร์" อาจทำให้ไม่สามารถใช้นโยบายกลุ่มได้เนื่องจากการเปลี่ยนแปลงที่อยู่ IP
  • การลบ OU ที่มี "เครื่องพิมพ์" ทำให้ผู้ใช้ไม่สามารถใช้เครื่องพิมพ์ได้ และทำให้เพิ่มแรงกดดันต่อฝ่ายช่วยเหลือ

เพื่อหลีกเลี่ยงผลกระทบด้านลบเหล่านี้และผลกระทบด้านลบอื่นๆ จำเป็นต้องติดตามการเปลี่ยนแปลงหน่วยองค์กรและกลุ่มใน Active Directory เป็นประจำและตอบสนองต่อการเปลี่ยนแปลงที่ไม่ต้องการทันที

ด้านล่างนี้ คุณจะพบสองวิธีในการตั้งค่าการติดตามการเปลี่ยนแปลง การรวมหนึ่งในนั้นไว้ในกลยุทธ์ความปลอดภัยของคุณจะทำให้คุณทราบถึงการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตที่เกิดขึ้นกับหน่วยองค์กรและกลุ่ม Active Directory

การตรวจสอบพื้นเมือง

1. เรียกใช้ GPMC.msc (url2open.com/gpmc) > คลิกขวาที่ “Default Domain Policy” และเลือก “Edit” > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Audit Policy:

  • ตรวจสอบการจัดการบัญชี > กำหนด > ความสำเร็จ
  • ตรวจสอบการเข้าถึงบริการไดเรกทอรี > กำหนด > ความสำเร็จ

2. กลับสู่ระดับการตั้งค่าความปลอดภัย > บันทึกเหตุการณ์:

  • ขนาดบันทึกความปลอดภัยสูงสุด > กำหนดเป็น 1GB
  • วิธีการเก็บรักษาสำหรับบันทึกความปลอดภัย > กำหนดเพื่อเขียนทับเหตุการณ์ตามต้องการ

3. เรียกใช้คำสั่ง “gpupdate /force”

4. เปิด ADSI Edit (url2open.com/adsi) > คลิกขวาที่ ADSI Edit > Connect to Default naming context > คลิกขวาที่ DomainDNS object ด้วยชื่อโดเมนของคุณ > Properties > Security (Tab) > Advanced (ปุ่ม) > Auditing (Tab) > เพิ่ม Principal “Everyone” > พิมพ์ “Success” > ใช้กับ “This object and Descendant object” > Permissions > เลือกกล่องกาเครื่องหมายทั้งหมดโดยคลิกที่ “Full Control” ยกเว้นรายการต่อไปนี้: Full Control, List Contents, Read คุณสมบัติทั้งหมด สิทธิ์ในการอ่าน > คลิก “ตกลง”

5. เปิดตัวแสดงเหตุการณ์และกรองบันทึกความปลอดภัยเพื่อค้นหารหัสเหตุการณ์ (Windows Server 2003/2008-2012):

  • 631, 635, 648, 653, 658, 663/4727, 4731, 4754 , 4759, 4744, 4749 - สร้างกลุ่มแล้ว
  • 632, 636, 650, 655, 660, 665/4728, 4732, 4756 , 4761, 4746, 4751 - สมาชิกถูกเพิ่มเข้าในกลุ่ม
  • 633, 637, 651, 656, 661, 666/4729, 4733, 4757, 4762, 4747, 4752 - สมาชิกถูกลบออกจากกลุ่ม
  • 634, 638, 652, 662, 667, 657/4730, 4734, 4758, 4748, 4753, 4763 - ลบกลุ่มแล้ว
  • 639, 641, 649, 654, 659, 664/4735, 4737, 4745, 4750, 4755, 4760 - เปลี่ยนกลุ่มแล้ว
  • 566/4662 - มีการดำเนินการกับวัตถุ (ประเภท: การเข้าถึงบริการไดเรกทอรี)

ผู้ตรวจสอบ Netwrix สำหรับ Active Directory

1. เรียกใช้ Netwrix Auditor > Managed Objects > Your.domain > คลิก “Run” เพื่อรวบรวมบันทึก (การรวบรวมบันทึกจะดำเนินการโดยอัตโนมัติตามกำหนดเวลาที่ระบุ ที่นี่คุณอาจต้องคลิกปุ่ม “Run” ด้วยตนเองเพื่อหลีกเลี่ยงการรอข้อมูลตามกำหนดเวลาครั้งถัดไป คอลเลกชัน) > เปิดอีเมลที่ได้รับหลังจากการรวบรวมบันทึก

หวังว่าคู่มือนี้จะช่วยให้คุณตรวจพบการเปลี่ยนแปลงที่ไม่ต้องการและรักษาส่วนสำคัญของสภาพแวดล้อมด้าน IT เช่น Active Directory ให้ปลอดภัย และลดภาระในการตรวจสอบ

บทความที่เกี่ยวข้อง