Event ID 4764 в Active Directory: изменен тип или область действия группы
Что означает Event ID 4764?
Событие Event ID 4764 регистрируется, когда администратор меняет тип группы (например, превращает группу распространения в группу безопасности) или область ее действия (Scope: Global, Universal, Domain Local).
Почему это критически важное событие безопасности?
Преобразование группы распространения в группу безопасности дает ей SID, пригодный для назначения прав доступа. Злоумышленник может использовать эту операцию для скрытного повышения привилегий в домене.
| Поле события | Значение |
|---|---|
Target Account Name | Имя группы, тип которой изменили. |
Subject: Account Name | Учетная запись инициатора изменений. |
Как расследовать смену типа группы
- Откройте PowerShell от имени администратора.
- Выгрузите подробную информацию о событии 4764:
Get-WinEvent -FilterHashtable @{
LogName = 'Security'
Id = 4764
} -MaxEvents 5 | Format-List TimeCreated, MessageКритическое предупреждение безопасности: Любое внезапное изменение типа стандартных групп рассылки на группу безопасности должно рассматриваться как потенциальный инцидент безопасности!
Частые вопросы (FAQ)
Можно ли преобразовать любую группу в любую область?
Существуют правила вложенности AD. Например, глобальную группу нельзя напрямую переключить в Domain Local без промежуточного преобразования в Universal.
Теряются ли участники группы при смене ее типа?
Нет, состав участников сохраняется, но могут измениться правила репликации и применения разрешений.
Какая подкатегория аудита отвечает за Event ID 4764?
Audit Security Group Management (Аудит управления группами безопасности).
Как вернуть прежний тип группы в PowerShell?
Используйте команду: <code>Set-ADGroup -Identity "ИмяГруппы" -GroupCategory Security</code> (или <code>Distribution</code>).
