Windows イベント ID 4729: グローバルグループからのメンバー削除

セキュリティ有効なグローバルグループ（ドメイングループ）からメンバーが削除されたときに記録される。追加 4728 と対で、ドメイングループのメンバーシップの変遷を追う。

概要

サブカテゴリは Audit Security Group Management。グローバルグループからメンバーが除去されると生成され、ドメインコントローラでのみ記録される。削除メンバーごとに 1 件出る。追加 4728 と同様、Member\Account Name は識別名（DN）形式で記録される。ローカルグループ版は 4733。

発生契機・方法

• net group "<group>" <user> /delete /domain、Active Directory ユーザーとコンピューター（ADUC）、Remove-ADGroupMember などによるメンバー削除。

セキュリティ上の確認事項

• 攻撃者が特権グループへ一時的に自分を追加（4728）して操作し、直後に削除して痕跡を薄める動きがある。短時間の追加→削除のペアは注目に値する。
• 正規の管理者を Domain Admins から外すなど、防御や運用に関わるメンバー削除は、権限剥奪・妨害の文脈で確認する。

ログレビュー時の注意観点

• DC で正規の権限見直しとしても発生する。対象グループ（特権か）・削除されたメンバー・実施主体の正常パターンと照合する。
• 追加 4728 とセットで、メンバーシップの履歴として読む。DN 形式のメンバー名は CN= 以下を解決して突き合わせる。

主なフィールド

参考

• Microsoft Learn: Audit Security Group Management
• Ultimate Windows Security: Event ID 4729