Självstudie Powershell – Vem skapade en användare på domänen

Vill du lära dig hur du filtrerar Windows händelseloggar med Powershell för att hitta vem som skapade ett användarkonto på domänen? I den här handledningen kommer vi att visa dig hur du hittar vem som skapade ett konto i Active Directory.

• Windows 2012 R2
• Windows 2016
• Windows 2019
• fönster 2022
• Windows 10
• Windows 11

Utrustning lista

Här kan du hitta listan över utrustning som används för att skapa denna tutorial.

Utrustning lista

Denna länk kommer också att visa programvaran lista som används för att skapa denna tutorial.

Relaterad självstudie - PowerShell

På den här sidan erbjuder vi snabb tillgång till en lista med självstudiekurser relaterade till PowerShell.

Självstudie Powershell – Vem skapade en användare på domänen

Starta en upphöjd Powershell-kommandorad på domänkontrollanten.

Lista händelser relaterade till skapandet av ett användarkonto.

Copy to Clipboard

Här är kommandot utgång.

Copy to Clipboard

Visa innehållet i händelser relaterade till skapandet av ett användarkonto.

Copy to Clipboard

Här är kommandot utgång.

Copy to Clipboard

Message              : A user account was created.

Subject:
                        Security ID:            S-1-5-21-4215187987-3124207031-433979976-500
                        Account Name:           administrator
                        Account Domain:         TECH
                        Logon ID:               0x92491

New Account:
                        Security ID:            S-1-5-21-4215187987-3124207031-433979976-1106
                        Account Name:           vegeta
                        Account Domain:         TECH

Attributes:
                        SAM Account Name:       vegeta
                        Display Name:           Prince Vegeta
                        User Principal Name:    vegeta@TECH.LOCAL
                        Home Directory:         -
                        Home Drive:             -
                        Script Path:            -
                        Profile Path:           -
                        User Workstations:      -
                        Password Last Set:      <never>
                        Account Expires:                <never>
                        Primary Group ID:       513
                        Allowed To Delegate To: -
                        Old UAC Value:          0x0
                        New UAC Value:          0x15
                        User Account Control:
                                Account Disabled
                                'Password Not Required' - Enabled
                                'Normal Account' - Enabled
                        User Parameters:        -
                        SID History:            -
                        Logon Hours:            <value not set>

Additional Information:
                        Privileges              -
Id                   : 4720
Version              : 0
Qualifiers           :
Level                : 0
Task                 : 13824
Opcode               : 0
Keywords             : -9214364837600034816
RecordId             : 123413
ProviderName         : Microsoft-Windows-Security-Auditing
ProviderId           : 54849625-5478-4994-a5ba-3e3b0328c30d
LogName              : Security
ProcessId            : 824
ThreadId             : 3200
MachineName          : TECH-DC01.TECH.LOCAL
UserId               :
TimeCreated          : 8/9/2022 4:01:18 AM
ActivityId           :
RelatedActivityId    :
ContainerLog         : Security
MatchedQueryIds      : {}
Bookmark             : System.Diagnostics.Eventing.Reader.EventBookmark
LevelDisplayName     : Information
OpcodeDisplayName    : Info
TaskDisplayName      : User Account Management
KeywordsDisplayNames : {Audit Success}
Properties           : {System.Diagnostics.Eventing.Reader.EventProperty, System.Diagnostics.Eventing.Reader.EventProperty,
                       System.Diagnostics.Eventing.Reader.EventProperty, System.Diagnostics.Eventing.Reader.EventProperty...}

Visa endast innehållet i händelsemeddelandet.

Copy to Clipboard

Här är kommandot utgång.

Copy to Clipboard

A user account was created.

Subject:
        Security ID:            S-1-5-21-4215187987-3124207031-433979976-500
        Account Name:           administrator
        Account Domain:         TECH
        Logon ID:               0x92491

New Account:
        Security ID:            S-1-5-21-4215187987-3124207031-433979976-1106
        Account Name:           vegeta
        Account Domain:         TECH

Attributes:
        SAM Account Name:       vegeta
        Display Name:           Prince Vegeta
        User Principal Name:    vegeta@TECH.LOCAL
        Home Directory:         -
        Home Drive:             -
        Script Path:            -
        Profile Path:           -
        User Workstations:      -
        Password Last Set:      <never>
        Account Expires:                <never>
        Primary Group ID:       513
        Allowed To Delegate To: -
        Old UAC Value:          0x0
        New UAC Value:          0x15
        User Account Control:
                Account Disabled
                'Password Not Required' - Enabled
                'Normal Account' - Enabled
        User Parameters:        -
        SID History:            -
        Logon Hours:            <value not set>

Additional Information:
        Privileges              -

Ta reda på vem som har skapat användarkonton under de senaste 30 dagarna.

Copy to Clipboard

Lista händelser relaterade till skapandet av ett specifikt användarkonto.

Copy to Clipboard

I vårt exempel filtrerade vi baserat på händelsemeddelandeinnehållet.

Grattis! Du kan hitta vem som skapade ett användarkonto i Active Directory med Powershell.

Powershell – Vem skapade en användare på domänen

Powershell – Vem skapade en användare på domänen

Utrustning lista

Relaterad självstudie - PowerShell

Självstudie Powershell – Vem skapade en användare på domänen

Related Posts