查找谁对 Active Directory 中的用户帐户进行了更新

Question

我想知道是否有人可以在不查看事件日志的情况下找出谁对 AD 中的用户帐户进行了更新？

像批处理文件或 vbs 这样的东西应该没问题。

Answer 1

发生修改的域控制器上的安全事件日志将是查找您正在查找的信息的位置，但不幸的是，默认情况下没有启用足够的审核来为您提供您正在查找的信息。在这样的事后场景中，如果您还没有启用审计，您可能会走运。将来考虑为您感兴趣的事件类型启用审计。

如果您确实启用了正确的审计，那么您可能会考虑将事件日志导出为 XML 或文本格式，并至少在最初时findstr对其进行仔细检查，使用诸如查明需要检查的条目之类的简单方法。请注意，您需要检查每个域控制器 (DC) 上的安全事件日志，因为修改可以在任何 DC 上进行，并且只会记录在发生修改的 DC 上。