Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- active_directory [2025/03/29 20:49]
jango [Event-Log]
+++ active_directory [2025/04/10 22:03] (aktuell)
jango
@@ Zeile 2: / Zeile 2: @@
 Siehe auch [[coding:powershell#Active Directory|Powershell]].
+<code>
+repadmin /syncall /AeD
+repadmin /syncall /d /e <NameDesDCs> DC=DomainDnsZones,<deine-Domain>
+dnscmd /zoneinfo domain.local
+</code>
 =====Reversible Encryption=====
@@ Zeile 242: / Zeile 248: @@
   * [[DNS]] Server
   * [[DHCP]] Server
-  * Active Directory Certificate Services (ADCS)
+  * [[ADCS]] (Active Directory Certificate Services)
   * Remote Access Server (RAS) - [[VPN]]
   * Microsoft Active Directory Federation Services ([[adfs|ADFS]]) - Verschlüsselung, Zertifikatsmanagment, Single-SignOn (SSO), Smartcards
@@ Zeile 268: / Zeile 274: @@
 ====Event-Log====
-Wichtige Event IDs
+Wichtige Event IDs (unsortiert) [[todo]]
 ^ID^Beschreibung^
@@ Zeile 292: / Zeile 298: @@
 |4738|A user account was changed.|
 |4740|A user account was locked out.|
-|4741|A computer account was changed.|
+|4741|A computer account was chreated.|
-|4742|A computer account was changed??|
+|4742|A computer account was changed.|
 |4743|A computer account was deleted|
 |4744|A security-disabled local group was created.|
@@ Zeile 333: / Zeile 339: @@
 |4788|A nonmember was removed from a basic application group.|
+: A scheduled task was created.
+: A scheduled task was deleted.
+: A scheduled task was enabled.
+: A scheduled task was disabled.
+: A scheduled task was updated.
+: malware scan stopped before completing scan
+: malware scan paused
+: malware scan failed
+, 1116: malware or unwanted software detected
+, 1117: action to protect system performed
+, 1118: action to protect system failed
+: item restored from quarantine
+: unable to delete item in quarantine
+: suspicious behavior detected
+: critical error occurred when taking action
 [[ToDo]] [[https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/appendix-l--events-to-monitor]]
-Group managment
+===User & Group Managment===
+Computerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Erweiterte Überwachungsrichtlinien -> Kontenverwaltung
+  * Benutzeranmeldeereignisse überwachen(für Benutzeranmeldungen und -abmeldungen)
+  * Benutzer- und Gruppenänderungen überwachen (Für Änderungen an Benutzerkonten und Gruppenmitgliedschaften)
+Überwachungsrichtlinie für "Objektzugriffsüberwachung" aktivieren:
+Computerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Erweiterte Überwachungsrichtlinien -> Objektzugriff
+Aktiviere: Zugriff auf Datei-/Ordnerschutz. Das ist wichtig, um Berechtigungsänderungen an Benutzerkonten und Gruppen zu überwachen.
+User Managment
+^Event ID^Beschreibung^
+|4720|A user account was created (Benutzerkonto erstellt)|
+|4726|A user account was deleted (Benutzerkonto gelöscht)|
+|4738|A user account was changed (Allgemeine Änderungen am Benutzerkonto)|
+|4767|A user account was unlocked (Konto entsperrt)|
+|4740|A user account was locked out (Konto gesperrt)|
+|4725|A user account was disabled (Konto deaktiviert)|
+|4722|A user account was enabled (Konto aktiviert)|
+|4723|An attempt was made to change an account's password (Benutzer ändert eigenes Passwort)|
+|4724|An attempt was made to reset an account's password (Administrator setzt Benutzerpasswort zurück)|
+|4728|A member was added to a security-enabled global group|
+|4729|A member was removed from a security-enabled global group|
+|4732|A member was added to a security-enabled local group|
+|4733|A member was removed from a security-enabled local group|
+|4756|A member was added to a security-enabled universal group|
+|4757|A member was removed from a security-enabled universal group|
+Security Groups
 ^Event ID^Beschreibung^
 |4727|A security-enabled global group was created|
@@ Zeile 351: / Zeile 407: @@
 |4757|A security-enabled universal group was deleted|
+Distribution Groups
+^Event ID^Beschreibung^
+|4744|A distribution group was created|
+|4745|A member was added to a distribution group|
+|4746|A member was removed from a distribution group|
+|4747|A distribution group was deleted|
+===NTFS Berechtigungen===
+Objektzugriffsüberwachung muss aktiviert sein.
+Gruppenrichtlinien: Computerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Erweiterte Überwachungsrichtlinien -> Objektzugriff
+Aktiviere die Option: Datei- und Ordnerschutz überwachen
+Alternativ in klassischen Richtlinien: Objektzugriff überwachen -> Erfolg & Fehlschlag aktivieren
+Gehe zum Ordner oder Laufwerk, das du überwachen möchtest: Rechtsklick -> Eigenschaften -> Sicherheit -> Erweitert -> Überwachung
+Füge "Jeder" oder eine spezifische Benutzer-/Gruppe hinzu.
+Wähle die Berechtigungen aus, die überwacht werden sollen, z. B.:
+  * Lesen
+  * Ändern
+  * Schreiben
+  * Löschen
+  * Erstellen
+Wenn du alle Zugriffsarten überwachen möchtest, wähle "Vollzugriff" aus, um eine detaillierte Protokollierung zu erhalten.
+^Event ID^Beschreibung^
+|4670|Permissions on an object were changed (Änderung von NTFS-Berechtigungen)|
+|4674|An operation was attempted on a privileged object (Änderung an einem geschützten Objekt)|
+|5145|A network share object was checked to see whether client can be granted desired access (Prüfung von Freigabeberechtigungen)|
+|4660|An object was deleted (Objekt gelöscht, z.B. eine Datei oder ein Ordner)|
+|4663|An attempt was made to access an object (Allgemeiner Objektzugriff, wenn aktiviert)|
+|4662|An operation was performed on an object (Änderung des Besitzes von Dateien/Ordnern)|
+|4656|A handle to an object was requested (Zugriffsversuch auf ein Objekt mit Berechtigungsänderung)|
+===SMB Share Berechtigungen===
+untested
+^Event ID^Beschreibung^
+|5142|A network share object was added.|
+|5143|A network share object was modified.|
+|5144|A network share object was deleted.|
+===Powershell Script===
 <code powershell>
 # Definieren Sie den Zeitraum für die Überwachung (z.B. die letzten 7 Tage)

MBCDN

Benutzer-Werkzeuge

Webseiten-Werkzeuge

Unterschiede

Seiten-Werkzeuge