AD の特権グループの「中身を見に来た」ことを記録する：イベント 4662 とおとりグループ
侵入者はまず Domain Admins などのメンバーを調べる。DC で member 属性の読み取りを監査し、ログオン記録と突き合わせれば照会元の端末が分かる。誰も使わないおとりグループを監査すると誤検知の少ないアラートになる。
いつ使うか
- Active Directory 環境で、侵入後の偵察（特権アカウントの洗い出し）を早く見つけたい
- EDR だけでは
net group以外の LDAP 照会が見えにくいとき
設定
- 全 DC で「Audit Directory Service Access」の成功を有効にする。
- 監視したいグループの SACL に監査エントリを足す。対象は Everyone か Authenticated Users の「Read member」の成功、適用範囲はそのオブジェクトだけ。これで読み取りがイベント 4662 として残る。
- Administrators などの組み込みグループの列挙は 4799 で記録される。同様の SACL に加えて「Audit Security Group Management」の成功も有効にする。
- 保護対象グループは SDProp が約 60 分ごとに AdminSDHolder の設定へ戻すので、監査エントリは AdminSDHolder 側にも入れておかないと消える。
調べ方
- 4662 の
SubjectLogonIdを、同じ DC の 4624 のTargetLogonIdと照合すると、送信元 IP と端末名が分かる。 - Entra Connect など正規の照会も多い。ログ容量を確保し、SIEM で既知の照会元を除外する。
- 業務で使わないおとりグループ（それらしい名前の管理者グループ）を作って監査すると、触った時点でほぼ黒と言える。
見えないもの
- ユーザー側の
memberOfやtokenGroupsの参照、SAMR 経由のnet groupでは対象グループの 4662 が出ない。後者はプロセス作成ログやネットワーク側の検知で補う。