要追踪非法加域尝试，需启用高级审核策略中的“Kerberos身份验证服务失败”（ID 4768）和“目录服务访问失败”，并在CN=Computers容器上为域控制器配置SACL，重点监控ID 4742、4740、4662、5136等事件并关联分析。

要追踪所有非法加域尝试，核心是捕获并识别“非授权计算机加入域”的行为。这类操作本质是向域控制器发起的 netlogon 和 ldap 写入请求，必须通过启用特定审核策略、正确配置sacl，并聚焦关键事件id来实现精准审计。

启用高级审核策略并强制记录失败事件

仅靠传统“审核账户管理”策略无法覆盖加域行为。必须启用 高级审核策略配置 中的以下两项，并确保勾选“失败”：

• 账户登录 → 启用“Kerberos身份验证服务”失败（对应事件ID 4768 失败）
• 目录服务访问 → 启用“目录服务访问”失败（这是关键，加域需修改CN=Computers容器或目标OU）

注意：策略必须部署在 Default Domain Controllers Policy 上，本地组策略（gpedit.msc）完全无效。

为计算机容器手动配置SACL

开启策略只是第一步，AD不会自动审计对象变更，必须显式授予域控制器对目标位置的“审核权限”：

• 打开 Active Directory 用户和计算机，启用“高级功能”
• 右键 CN=Computers 容器（或你允许加域的目标OU）→ “属性” → “安全”选项卡 → “高级”
• 点击“添加”→ 选择“此台域控制器的计算机账户”（如 DC01$）→ 在下方勾选：
    • 成功 和 失败 的“写入所有属性”
    • 成功 和 失败 的“创建计算机对象”
    • 成功 和 失败 的“删除计算机对象”

重点监控的事件ID及判断逻辑

非法加域尝试通常表现为以下组合，需关联分析：

• 事件ID 4742（计算机账户已存在但密码不匹配）：常见于重名机器反复尝试，属低风险但需关注频次
• 事件ID 4740（账户被锁定）+ 4768失败：说明攻击者正用已知用户名暴力试探，可能针对计算机账户默认密码
• 事件ID 4662（对对象执行操作）失败 + 操作类型为 dsHeuristics 或目标为 CN=Computers：高度可疑，可能是工具批量创建计算机对象
• 事件ID 5136（目录服务对象更改失败）+ 更改属性为 unicodePwd 或 userAccountControl：试图篡改计算机账户状态，属高危行为

确保日志留存与实时响应能力

加域尝试往往密集发生，日志若被覆盖就失去追溯价值：

• 将域控制器上“安全”日志最大大小设为 4096MB，禁用“日志满时覆盖事件”
• 使用 Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4742,4740,4662,5136} -MaxEvents 100 快速抽检是否持续写入
• 建议接入集中日志平台（如ELK、Splunk）或使用 ADAudit Plus 等工具配置实时告警规则，例如：“15分钟内出现5次4742失败，来源IP不在已知运维网段”