AD 域审计是什么？一文讲清审计对象、事件来源与合规要求
一次普通的域账号变更，真正执行操作可能只需要几分钟。但如果账号被擅自提权、员工离职后账号未及时禁用，或者组策略遭到未经授权的修改，IT 管理员往往要花数小时甚至更久，才能查清是谁操作、何时发生、影响了哪些对象。事件分散在不同的 Windows 日志中，关键记录可能缺失，等到问题暴露时，调查难度已经成倍增加。
AD 域审计（Active Directory Auditing）正是为了看清这些身份与权限变化而建立的机制。它不只是记录登录失败或账号修改，还要追踪用户账号、用户组、管理员权限和组策略（GPO）等关键对象的变化，并通过事件日志还原操作过程，让原本分散的安全事件变得可查询、可追溯。
本文将围绕三个问题展开：AD 域审计是什么，需要审计哪些对象、从哪里获取事件日志？企业需要满足哪些审计与合规要求？如何把分散的域事件转化为日常可查询、可追踪的审计记录？
一、AD 域审计是什么？为什么企业需要它？
Active Directory（AD，活动目录）是企业集中管理 Windows 域用户、计算机、用户组和访问权限的核心基础设施。员工账号的创建与禁用、管理员权限分配、组策略调整等操作，都会直接影响企业的身份安全与 IT 环境稳定性。
AD 域审计的核心，是通过记录、查询和分析相关事件，追踪目录环境中的关键操作，并判断这些操作是否符合企业的授权流程与安全策略。企业开展 AD 域审计，主要有三个目的。
1. 追踪账号与权限变化
当普通用户被加入域管理员组，或者重要账号的属性、密码和所属组发生变化时，审计记录能够帮助管理员核查操作主体、变更时间和影响范围。
2. 发现潜在安全风险
大量登录失败、异常账号创建、高权限组成员变化等事件，可能反映配置错误、权限管理不规范或可疑活动，需要进一步调查。需要强调的是，单一异常事件本身不等于安全事件，应结合上下文判断。
3. 支持安全调查与合规检查
完整的审计记录可以帮助企业还原事件过程，为内部审计、安全事件响应和合规检查提供证据支持。
需要注意，AD 域审计并不等同于企业整体的信息安全审计，其重点是 Active Directory 及 Windows 域环境中的身份、权限和目录变更。
二、AD 域审计主要审计哪些对象？
AD 域审计不应只关注登录记录，还应覆盖影响身份安全和域环境稳定性的关键对象。
| 审计对象 | 重点审计内容 | 典型风险 |
|---|---|---|
| 用户账号 | 创建、删除、启用、禁用、密码及属性修改 | 离职账号残留、未经授权的账号变更 |
| 用户组与权限 | 组成员变化、管理员权限调整 | 普通用户获得过高权限 |
| 计算机账号 | 域计算机账号创建、删除及属性变化 | 异常设备接入或对象被篡改 |
| 组策略对象（GPO） | 策略创建、修改、链接及权限变化 | 安全基线被擅自调整 |
| 登录与认证 | 登录成功与失败、账号锁定、Kerberos 票据请求 | 异常认证、账号滥用 |
举一个常见场景：普通用户突然被加入域管理员组，这可能是经过审批的临时授权，也可能是未经授权的权限提升。审计人员需要核对操作主体、变更时间、审批记录及该账号后续活动，才能判断操作是否合理。
因此，审计的目标不只是"记录发生了什么"，还包括"能否找到对应证据、解释操作原因，并在必要时采取措施"。
三、AD 域审计的事件来源有哪些？
要开展有效的 AD 域审计，企业需要先明确事件从哪里产生，以及哪些审核配置必须提前启用。AD 域审计的事件主要来自四个来源，各自对应的日志类型和事件编号并不相同。
1. 域控制器 Windows 安全日志：账号与组成员变更
域控制器（DC）的 Windows 安全日志是 AD 域审计最主要的事件来源。企业需要在域控制器上启用"账户管理"类的高级审核策略，才能记录账号创建、删除与组成员变化。
| 事件 ID | 事件说明 |
|---|---|
| 4720 | 已创建用户账号 |
| 4722 | 已启用用户账号 |
| 4724 | 已尝试重置账号密码 |
| 4726 | 已删除用户账号 |
| 4728 | 已将成员添加到启用安全功能的全局组 |
| 4732 | 已将成员添加到启用安全功能的本地域组 |
| 4740 | 用户账号已被锁定 |
2. 目录服务变更日志：目录对象本身的变化
用户属性、组成员关系和目录对象配置发生变化时，需要依赖"目录服务更改"审核子类别记录。注意，这类事件与账号管理类事件属于不同子类别，两者不能互相替代。
| 事件 ID | 事件说明 |
|---|---|
| 5136 | 目录服务对象已被修改 |
| 5137 | 目录服务对象已被创建 |
| 5141 | 目录服务对象已被删除 |
| 4662 | 已对对象执行操作（需为对象配置 SACL 后才会产生） |
对于需要重点审计的目录对象，还应根据目标配置系统访问控制列表（SACL）。如果没有配置必要的审核策略，即使操作确实发生，系统也不一定会生成所需的审计记录。
3. 登录与认证事件
登录与认证类事件由"登录/注销"和"账户登录"审核子类别产生，是排查异常认证和横向移动的重要依据。
| 事件 ID | 事件说明 |
|---|---|
| 4624 | 账号已成功登录 |
| 4625 | 账号登录失败 |
| 4768 | 已请求 Kerberos 身份验证票证（TGT） |
| 4769 | 已请求 Kerberos 服务票证 |
4. 组策略对象（GPO）与 SYSVOL 变更
GPO 会影响域内用户和计算机的安全配置，其创建、修改、链接与权限变化需要单独核查。相关活动可能同时体现在域控制器安全日志（5136 等目录对象修改事件）、目录服务事件，以及 SYSVOL 中的策略文件变更上。对于重要配置变更，应结合多个来源交叉验证，避免仅凭单一事件推断整个操作过程。
需要说明：上述事件编号对应的记录内容，取决于 Windows Server 版本、高级审核策略子类别的实际配置，以及目标对象的 SACL 设置。仅知道事件编号，并不意味着企业已经具备完整的审计能力；配置完成后，应通过实际操作验证目标事件能否正常生成。
四、AD 域审计有哪些合规要求？
AD 域审计涉及的合规要求，应根据适用法律法规、网络安全等级保护要求、行业监管规定和企业内部制度共同确定。在网络安全等级保护实践中，企业应重点检查以下事项：
- 审计覆盖：是否记录重要用户、管理员及关键安全操作。
- 记录完整性：是否能够追溯必要的操作主体、时间和事件信息。
- 日志保护：是否限制日志的访问与修改权限，降低审计证据被删除或篡改的风险。
- 日志留存：是否按照适用规定和业务要求保存相关记录。
- 审计处置：是否建立定期检查、异常调查和问题整改流程。
金融、医疗、能源等行业还需要结合具体监管规范，评估高权限账号、敏感系统访问和员工离职交接等场景的审计需求。
需要明确的是，部署审计工具并不等于自动满足合规要求。企业仍需核查审核策略是否正确、日志是否完整、留存期限是否适用，以及异常事件是否得到及时处理。
五、AD 域审计落地检查清单
下面这份清单可直接用于内部自查。建议按季度执行一次，并保留检查记录作为审计证据。
| 检查项 | 落地动作 | 如何验证 |
|---|---|---|
| 审核策略 | 在全部域控制器上启用"账户管理""目录服务更改""登录/账户登录""策略更改"等高级审核子类别 | 执行一次建号与加组操作，确认 4720、4728 事件正常生成 |
| 关键对象 SACL | 为域管理员组、核心组织单位（OU）、关键 GPO 配置目录对象审核 | 修改一次对象属性，确认 5136 事件出现 |
| 采集范围 | 覆盖所有域控制器，避免只采集单台 DC 造成记录缺口 | 对比各 DC 的事件数量与时间连续性 |
| 留存周期 | 按适用规定与业务需要设置留存期限，常见不少于 6 个月 | 抽查 6 个月前的记录是否仍可检索 |
| 访问控制 | 限制审计日志的读取、清空与修改权限，管理员操作本身留痕 | 用普通管理员账号尝试清日志，验证是否被拒绝 |
| 告警规则 | 对域管理员组成员变化、异常账号创建、核心 GPO 修改设置告警 | 在测试 OU 触发一次变更，确认告警送达责任人 |
| 定期复核 | 每月核对高权限账号清单与审批工单 | 抽查上月变更记录，确认均有对应审批 |
| 职责分离 | 账号管理、日志查看、审计复核由不同角色承担 | 检查权限分配表，确认无单人同时具备两类权限 |
六、如何建立有效的 AD 域审计机制？
1. 明确审计范围
优先覆盖域管理员组、重要业务账号、关键组织单位（OU）和核心组策略对象，明确哪些操作需要审批、哪些变化需要重点关注。
2. 配置审核策略
根据审计目标启用 Windows 高级审核策略，并为需要追踪的目录对象配置 SACL。配置完成后，应通过实际操作验证目标事件是否正常生成。
3. 集中查询与异常告警
将分散在各域控制器的审计记录集中检索，对高权限组成员变化、异常账号创建和关键策略修改等事件设置适当的告警规则。
4. 定期复核审计效果
检查日志覆盖范围、保存期限、访问权限和告警处置记录，并结合业务审批信息核查异常操作，确保审计机制持续有效。
七、ADAudit Plus 如何辅助企业开展 AD 域审计？
对于域控制器较多、账号规模较大或审计任务频繁的企业，仅依靠 Windows 原生日志进行人工排查，容易遇到事件分散、查询效率低和报表整理耗时等问题。
卓豪 ManageEngine ADAudit Plus 是一款AD域及文件服务器审计软件，可通过审计报表、变更追踪、事件查询和告警能力，辅助企业开展日常身份安全审计。
1. 用户账号审计：追踪账号生命周期变化
ADAudit Plus 可帮助管理员查询用户创建、删除、启用、禁用及相关属性变更记录，辅助核查账号生命周期管理情况。
应用场景：员工离职后，管理员发现其域账号仍处于启用状态。通过查询账号状态和相关变更记录，可以辅助核查账号是否及时禁用，并结合 HR 离职名单与工单完善账号清理流程。
2. 权限变更审计：核查高权限组成员
针对域管理员组等关键安全组，管理员可以利用相关审计记录追踪组成员变化，核查操作主体、时间及涉及对象。
应用场景：普通员工突然获得高权限，安全人员可以检查相关组成员变更记录，并结合审批信息判断是否存在越权授权或未经批准的权限提升。
3. 登录活动审计：辅助排查异常认证
通过查询相关登录活动、失败事件和账号锁定记录，管理员可以结合账号、时间和可用的来源信息分析异常情况。
应用场景：某账号短时间内连续登录失败并被锁定。管理员可以结合相关事件和其他安全日志，判断问题是否与密码输入错误、服务配置异常或可疑登录尝试有关。单一失败事件并不能直接证明发生了攻击。
4. 组策略审计：追踪安全配置变化
组策略会影响域内用户和计算机的安全配置。ADAudit Plus 可辅助审计受支持的组策略管理活动，帮助管理员核查策略变更。
应用场景：部分终端的安全配置与基线不一致，管理员可以查询近期组策略变更记录，核对变更时间、执行账号和审批信息，进一步调查是否存在误操作或未经授权的修改。
5. 预置报表与集中查询：减少人工整理
ADAudit Plus 提供 250+ 预置审计报表与查询能力，可帮助管理员按对象、事件类型和时间范围检索信息，为内部检查和审计材料整理提供支持。
应用场景：企业每月需要核查高权限账号变化，可以利用相关报表汇总变更记录，再结合审批工单进行复核，减少重复查询和手工汇总工作。
6. 变更告警：及时关注关键操作
企业可以根据实际风险，对关键用户、重要安全组和核心组策略设置适当的监控规则，及时关注需要调查的变化。
应用场景：域管理员组成员发生变化后，安全团队收到告警，可核对变更是否经过授权；如果无法确认操作合理性，再结合登录活动和其他安全日志开展调查。
需要注意，具体审计范围取决于产品版本、部署方式、事件来源和相关审核配置。ADAudit Plus 可以辅助企业提升审计查询和追踪效率，但不能替代 Windows 审核策略配置、日志保护、权限管理和人工调查。
总体来看，AD 域审计的关键，是让账号、权限和策略变化具备可追溯性，并将审计记录真正用于风险识别、事件调查和合规检查。企业可以先完善关键对象的日志采集和审核策略，再结合实际环境评估是否引入 ADAudit Plus 等专业工具，逐步建立可验证、可持续的身份安全审计机制。
常见问题（FAQs）
- AD 域审计和 AD 管理有什么区别？
AD 管理侧重账号创建、权限分配和策略维护；AD 域审计侧重记录、追踪和分析这些操作，为风险识别与事件调查提供依据。两者通常相辅相成：AD 管理负责"能做什么"，AD 域审计负责"做了什么、谁做的"。
- Windows 自带日志能否满足 AD 域审计需求？
Windows 原生日志能够提供重要的审计数据，但企业需要自行配置审核策略、在多台域控制器之间筛选事件，并手工整理报表。对于多域环境或高频审计场景，集中化审计工具有助于减少人工工作量，但不能替代基础的审核策略配置。
- 开展 AD 域审计至少需要开启哪些审核策略？
至少应覆盖四类高级审核子类别：账户管理（账号与组成员变更）、目录服务更改（目录对象变更）、登录/账户登录（登录成功与失败、Kerberos 票据请求）、策略更改。此外，需为重点目录对象配置 SACL，并在配置完成后用实际操作验证事件能否生成。
- AD 审计日志应该保存多久？
留存期限取决于适用的法律法规、行业监管要求和企业内部制度。实践中，安全审计类日志通常建议在线保存不少于 6 个月，并在此基础上归档留存以满足追溯与举证需要。具体期限应以企业合规部门的评估结果为准。
相关文章推荐
- 如何查看NAS文件服务器的访问记录？点此阅读
- AI 如何识别内部威胁？一文读懂用户行为分析（UBA）技术点此阅读
- Varonis 本地版 2026 年底停服：企业该如何应对？ADAudit Plus 替代方案详解 点此阅读
