Кто то удалил domain admins с группы Administrators на домен контроллере, как можно узнать кто это сделал?

Question

[shledon]

В логах очень много информации, есть ли способ узнать кто редактировал группы ну или хотя бы кто заходил на домен контроллер.

Comments

[Роман Безруков]

Дополню Alexey Dmitriev - в журнале безопасности (Security Log) на контроллере ищите события 4733 (удаление участника из группы безопасности) и/или 4735 (изменение группы безопасности)

[Username]

Логи. На будущее - поставьте, например, graylog и собирайте важные события из логов

Answer 1

[Alexey Dmitriev]

1. На контроллере домена нет группы Administrators.
2. В качестве этой группы опосредованно выступает доменный принципал Builtin\Administrators, из которого удалить членов можно без входа на DC. Судя по вопросу вы это не знали - и могли и удалить это сами из остастки AD.