Gostaria de saber se há alguém que eu possa descobrir que atualizou uma conta de usuário no AD sem passar pelos logs de eventos.
Algo como um arquivo em lote ou vbs deve funcionar.
Responder1
O log de eventos de segurança no controlador de domínio onde ocorreu a modificação seria o local para encontrar as informações que você procura, mas, infelizmente, não há auditoria suficiente habilitada por padrão para fornecer as informações que você procura. Em um cenário posterior como esse, você provavelmente estará sem sorte se ainda não tiver a auditoria habilitada. Para o futuro considerehabilitando auditoriapara os tipos de eventos que lhe interessam.
Se você tiver a auditoria correta habilitada, considere exportar o log de eventos para um formato XML ou de texto e examiná-lo, pelo menos inicialmente, com algo simples, como findstridentificar entradas que precisam ser examinadas. Esteja ciente de que você precisa examinar o log de eventos de segurança em cada controlador de domínio (DC), pois a modificação poderia ter sido feita em qualquer DC e só seria registrada no DC onde a modificação ocorreu.