자습서 Powershell - 도메인에서 사용자를 삭제한 사람

Powershell을 사용하여 Windows 이벤트 로그를 필터링하여 도메인에서 사용자 계정을 삭제한 사용자를 찾는 방법을 알아보시겠습니까? 이 자습서에서는 Active Directory에서 계정을 삭제한 사용자를 찾는 방법을 보여 드리겠습니다.

• Windows 2012 R2
• Windows 2016
• Windows 2019
• 윈도우 2022
• Windows 10
• 윈도우 11

장비 목록

여기에서 이 자습서를 만드는 데 사용되는 장비 목록을 찾을 수 있습니다.

장비 목록

이 링크에는 이 자습서를 만드는 데 사용되는 소프트웨어 목록도 표시됩니다.

자습서 Powershell - 도메인에서 사용자를 삭제한 사람

도메인 컨트롤러에서 관리자 권한 Powershell 명령줄을 시작합니다.

사용자 계정 제외와 관련된 이벤트를 나열합니다.

Copy to Clipboard

다음은 명령 출력입니다.

Copy to Clipboard

사용자 계정 제외와 관련된 이벤트의 내용을 표시합니다.

Copy to Clipboard

다음은 명령 출력입니다.

Copy to Clipboard

Message              : A user account was deleted.

Subject:
                        Security ID:            S-1-5-21-4215187987-3124207031-433979976-500
                        Account Name:           Administrator
                        Account Domain:         TECH
                        Logon ID:               0x60ADD

Target Account:
                        Security ID:            S-1-5-21-4215187987-3124207031-433979976-1107
                        Account Name:           yamcha
                        Account Domain:         TECH

Additional Information:
                        Privileges      -
Id                   : 4726
Version              : 0
Qualifiers           :
Level                : 0
Task                 : 13824
Opcode               : 0
Keywords             : -9214364837600034816
RecordId             : 194076
ProviderName         : Microsoft-Windows-Security-Auditing
ProviderId           : 54849625-5478-4994-a5ba-3e3b0328c30d
LogName              : Security
ProcessId            : 832
ThreadId             : 3360
MachineName          : TECH-DC01.TECH.LOCAL
UserId               :
TimeCreated          : 8/11/2022 2:09:50 AM
ActivityId           :
RelatedActivityId    :
ContainerLog         : Security
MatchedQueryIds      : {}
Bookmark             : System.Diagnostics.Eventing.Reader.EventBookmark
LevelDisplayName     : Information
OpcodeDisplayName    : Info
TaskDisplayName      : User Account Management
KeywordsDisplayNames : {Audit Success}
Properties           : {System.Diagnostics.Eventing.Reader.EventProperty, System.Diagnostics.Eventing.Reader.EventProperty, System.Diagnostics.Eventing.Reader.EventProperty, System.Diagnostics.Eventing.Reader.EventProperty...}

이벤트 메시지의 내용만 표시합니다.

Copy to Clipboard

다음은 명령 출력입니다.

Copy to Clipboard

지난 30일 동안 사용자 계정을 삭제한 사용자를 찾습니다.

Copy to Clipboard

특정 시간 간격으로 사용자 계정을 삭제한 사용자를 찾습니다.

Copy to Clipboard

특정 사용자 계정 제외와 관련된 이벤트를 나열합니다.

Copy to Clipboard

이 예제에서는 이벤트 메시지 내용을 기반으로 필터링했습니다.

축! Powershell을 사용하여 Active Directory에서 사용자 계정을 삭제한 사용자를 찾을 수 있습니다.

Powershell - 도메인에서 사용자를 삭제한 사람

Powershell - 도메인에서 사용자를 삭제한 사람

장비 목록

관련 자습서-PowerShell

자습서 Powershell - 도메인에서 사용자를 삭제한 사람

Related Posts