Windows イベント ID 4727: セキュリティ有効グローバルグループの作成

セキュリティが有効なグローバルグループ（ドメインのグループ）が作成されたときに記録される。ドメインコントローラでのみ発生し、権限付与の単位となる AD グループの新設を捉える。

概要

サブカテゴリは Audit Security Group Management。Active Directory 上にセキュリティ有効のグローバルグループが作成されると生成され、ドメインコントローラでのみ記録される。ローカルグループの 4731 に対する、ドメイングループ版にあたる。グローバルグループは「自ドメインのメンバーだけを持てるが、信頼関係のある他ドメインでも権限を付与できる」スコープを持つ。

発生契機・方法

• New-ADGroup -GroupScope Global -GroupCategory Security、Active Directory ユーザーとコンピューター（ADUC）、net group <name> /add /domain などによるグローバルグループ作成。

セキュリティ上の確認事項

• 攻撃者が独自のグループを新設し、そこにアカウントや権限をまとめて、後の権限管理・偽装・永続化に使うことがある。作成主体・グループ名が想定どおりかを確認する。
• グループ作成だけでは権限は付かない。直後のメンバー追加 4728 や、そのグループへの権利付与・委任と組み合わせて、権限拡大の一連を追う。
• ユニバーサルグループ版は 4754、ローカルグループ版は 4731。スコープを取り違えない。

ログレビュー時の注意観点

• 正規の運用（部署・ロールの新設など）でも発生する。作成主体・命名規則の正常パターンと照合する。
• 削除 4730・メンバー追加 4728 と併せ、グループのライフサイクルとして読む。

主なフィールド

参考

• Microsoft Learn: Audit Security Group Management
• Ultimate Windows Security: Event ID 4727