Windows Domain Admin Group Changed

Cette page n'est pas encore disponible en français, sa traduction est en cours.
Si vous avez des questions ou des retours sur notre projet de traduction actuel, n'hésitez pas à nous contacter.

Goal

Detect when the Domain Administrator group is modified.

Strategy

Monitoring of Windows event logs where @evt.id is 4737 and the @Event.EventData.Data.TargetUserName:"Domain Admins"

Triage & Response

Verify if {{@Event.EventData.Data.SubjectUserName}} has a legitimate reason for changing the Domain Admins group