Tutorial Powershell - Hvem oprettede en bruger på domænet

Vil du gerne lære, hvordan du filtrerer Windows-hændelseslogfiler ved hjælp af Powershell for at finde ud af, hvem der oprettede en brugerkonto på domænet? I denne vejledning skal vi vise dig, hvordan du finder ud af, hvem der oprettede en konto i Active Directory.

• Windows 2012 R2
• Windows 2016
• Windows 2019
• Vinduer 2022
• Windows 10
• Windows 11

Liste over udstyr

Her kan du finde listen over udstyr, der bruges til at oprette denne tutorial.

Liste over udstyr

Dette link viser også den softwareliste, der bruges til at oprette dette selvstudium.

Relateret tutorial - PowerShell

På denne side tilbyder vi hurtig adgang til en liste over tutorials relateret til PowerShell.

Tutorial Powershell - Hvem oprettede en bruger på domænet

Start en forhøjet Powershell-kommandolinje på domænecontrolleren.

Angiv hændelser relateret til oprettelsen af en brugerkonto.

Copy to Clipboard

Her er kommandoen output.

Copy to Clipboard

Vis indholdet af begivenheder relateret til oprettelsen af en brugerkonto.

Copy to Clipboard

Her er kommandoen output.

Copy to Clipboard

Message              : A user account was created.

Subject:
                        Security ID:            S-1-5-21-4215187987-3124207031-433979976-500
                        Account Name:           administrator
                        Account Domain:         TECH
                        Logon ID:               0x92491

New Account:
                        Security ID:            S-1-5-21-4215187987-3124207031-433979976-1106
                        Account Name:           vegeta
                        Account Domain:         TECH

Attributes:
                        SAM Account Name:       vegeta
                        Display Name:           Prince Vegeta
                        User Principal Name:    vegeta@TECH.LOCAL
                        Home Directory:         -
                        Home Drive:             -
                        Script Path:            -
                        Profile Path:           -
                        User Workstations:      -
                        Password Last Set:      <never>
                        Account Expires:                <never>
                        Primary Group ID:       513
                        Allowed To Delegate To: -
                        Old UAC Value:          0x0
                        New UAC Value:          0x15
                        User Account Control:
                                Account Disabled
                                'Password Not Required' - Enabled
                                'Normal Account' - Enabled
                        User Parameters:        -
                        SID History:            -
                        Logon Hours:            <value not set>

Additional Information:
                        Privileges              -
Id                   : 4720
Version              : 0
Qualifiers           :
Level                : 0
Task                 : 13824
Opcode               : 0
Keywords             : -9214364837600034816
RecordId             : 123413
ProviderName         : Microsoft-Windows-Security-Auditing
ProviderId           : 54849625-5478-4994-a5ba-3e3b0328c30d
LogName              : Security
ProcessId            : 824
ThreadId             : 3200
MachineName          : TECH-DC01.TECH.LOCAL
UserId               :
TimeCreated          : 8/9/2022 4:01:18 AM
ActivityId           :
RelatedActivityId    :
ContainerLog         : Security
MatchedQueryIds      : {}
Bookmark             : System.Diagnostics.Eventing.Reader.EventBookmark
LevelDisplayName     : Information
OpcodeDisplayName    : Info
TaskDisplayName      : User Account Management
KeywordsDisplayNames : {Audit Success}
Properties           : {System.Diagnostics.Eventing.Reader.EventProperty, System.Diagnostics.Eventing.Reader.EventProperty,
                       System.Diagnostics.Eventing.Reader.EventProperty, System.Diagnostics.Eventing.Reader.EventProperty...}

Vis kun indholdet af hændelsesmeddelelsen.

Copy to Clipboard

Her er kommandoen output.

Copy to Clipboard

A user account was created.

Subject:
        Security ID:            S-1-5-21-4215187987-3124207031-433979976-500
        Account Name:           administrator
        Account Domain:         TECH
        Logon ID:               0x92491

New Account:
        Security ID:            S-1-5-21-4215187987-3124207031-433979976-1106
        Account Name:           vegeta
        Account Domain:         TECH

Attributes:
        SAM Account Name:       vegeta
        Display Name:           Prince Vegeta
        User Principal Name:    vegeta@TECH.LOCAL
        Home Directory:         -
        Home Drive:             -
        Script Path:            -
        Profile Path:           -
        User Workstations:      -
        Password Last Set:      <never>
        Account Expires:                <never>
        Primary Group ID:       513
        Allowed To Delegate To: -
        Old UAC Value:          0x0
        New UAC Value:          0x15
        User Account Control:
                Account Disabled
                'Password Not Required' - Enabled
                'Normal Account' - Enabled
        User Parameters:        -
        SID History:            -
        Logon Hours:            <value not set>

Additional Information:
        Privileges              -

Find ud af, hvem der har oprettet brugerkonti inden for de seneste 30 dage.

Copy to Clipboard

Angiv hændelser relateret til oprettelsen af en bestemt brugerkonto.

Copy to Clipboard

I vores eksempel filtrerede vi ud fra hændelsesmeddelelsens indhold.

Tillykke! Du kan finde ud af, hvem der har oprettet en brugerkonto i Active Directory ved hjælp af Powershell.

Powershell – Hvem har oprettet en bruger på domænet

Powershell – Hvem har oprettet en bruger på domænet

Liste over udstyr

Relateret tutorial - PowerShell

Tutorial Powershell - Hvem oprettede en bruger på domænet

Powershell – Hvem har oprettet en bruger på domænet

Powershell – Hvem har oprettet en bruger på domænet

Liste over udstyr

Relateret tutorial - PowerShell

Tutorial Powershell - Hvem oprettede en bruger på domænet

Related Posts