特权组为什么要审计
Administrators 本地组、Domain Admins、Enterprise Admins、Schema Admins、Account Operators 等特权组的成员，就是域内的最高权限持有者。攻防实践里，只要能控制任意一个特权组成员账号，或者能修改组员关系，就等于拿到域控制器。基线因此要求三件事：成员最小化、每一次加入有审批与记录、定期复核谁还在组里以及他最近是否真的用过这个权限。
基本信息
| 适用平台 | Windows Server 与 AD 域 |
|---|---|
| 审计对象 | Domain Admins / Enterprise Admins / Schema Admins / Administrators / Account Operators |
| 复核频率 | 至少每季度一次，人员变动后立即 |
| 权限要求 | 域管理员；读取 AD 组需安装 RSAT |
| 关键事件 | 4728 全局组加成员、4732 本地组加成员、4756 通用组加成员 |
典型使用场景
- 季度或年度的账号权限复核，合规审计的高频检查项
- 员工离职、转岗后确认其特权已全部回收
- 应急响应阶段排查是否有人偷偷把账号塞进特权组做持久化
- 域信任调整、域迁移前清点特权边界
- 推送最小权限改造前的现状盘点
清点本地与域内成员
清点本地与域内成员
net localgroup Administrators # 本机管理员组成员
Get-ADGroupMember -Identity 'Domain Admins' -Recursive | Select-Object Name,SamAccountName # -Recursive 展开嵌套组
Get-ADGroupMember -Identity 'Enterprise Admins' -Recursive | Select-Object Name,SamAccountName
Get-ADGroupMember -Identity 'Schema Admins' -Recursive | Select-Object Name,SamAccountName
Get-ADGroupMember -Identity 'Account Operators' -Recursive | Select-Object Name,SamAccountName
Get-ADUser -Identity <账号> -Properties LastLogonDate, Enabled | Select-Object Name,LastLogonDate,Enabled # 看最近是否还在用复核必查项
| 检查项 | 含义 | 处置 |
|---|---|---|
| 成员身份 | 账号类型与所属人员 | 找不到在职归属人的成员先移除 |
| 嵌套来源 | 经其他组间接获得的特权 | 用 -Recursive 展开后逐层确认 |
| 内置管理员 | 本地或域内置的最高管理账号 | 改名或禁用，仅作应急用途 |
| 变更记录 | 事件 4728/4732/4756 | 与变更单比对，未授权变更立即排查 |
| 最近登录 | 特权账号的真实使用时间 | 长期未用的应移除或改为托管账号 |
高权限应急账号（Break Glass）要离线保管口令、只在故障时启用、用后立即改密，并全程记录；它不应该长期常驻特权组等着被人利用。
特权组是攻击者的首选目标：把账号加入 Domain Admins 前必须有审批记录，加入后要有人复核；查不到审批来源的成员一律先移除再补流程。