Cambios de objetos y grupos

Cuando un atributo de un objeto cambia, el controlador escribe el evento 5136, y suele escribir dos para un mismo cambio: uno con la operación «Value Deleted», que trae el valor anterior, y otro con «Value Added», que trae el nuevo. Los dos comparten el mismo identificador de correlación. Para tener el cambio completo se leen los dos juntos.

Los cambios de pertenencia a grupos tienen sus propios eventos: el 4728 es un miembro añadido a un grupo global con seguridad habilitada y el 4729 es uno retirado. El 4732 es la adición a un grupo local, y el 4756 a un grupo universal. El 4720 es una cuenta creada y el 4724 un restablecimiento de clave.

Un miembro nuevo en un grupo con privilegios altos es uno de los cambios que más vale detectar. Abre cambios y busca los eventos 4728 sobre Domain Admins. El evento tiene dos cuentas: el actor, que hizo el cambio, y el objeto, que es la cuenta añadida. No las confundas.

Un cambio en el directorio puede estar bien aunque suene grave: lo que lo hace legítimo es que alguien lo pidió y lo aprobó para ese rato. La tabla ventanas_de_cambio lista los cambios autorizados del día con su responsable y su horario. Compara cada cambio con la ventana de su actor.

El miembro fue añadido y después retirado por el mismo actor. Un privilegio que dura poco no es menos grave por durar poco: en ese intervalo la cuenta pudo hacer todo lo que permite el grupo. Calcula el tiempo entre el evento de alta y el de baja para saber qué intervalo hay que revisar en los inicios de sesión de esa cuenta.

Tienes los hechos: el actor añadió un miembro a un grupo privilegiado fuera de toda ventana, lo retiró 45 minutos después y no hay ticket. No tienes ninguna explicación del actor, ni se ha revisado qué hizo la cuenta añadida en ese intervalo.