Windows イベント ID 4754: セキュリティ有効ユニバーサルグループの作成

セキュリティが有効なユニバーサルグループが作成されたときに記録される。ドメインコントローラでのみ発生し、フォレスト全体に及ぶスコープを持つ AD グループの新設を捉える。

概要

サブカテゴリは Audit Security Group Management。Active Directory 上にセキュリティ有効のユニバーサルグループが作成されると生成され、ドメインコントローラでのみ記録される。ユニバーサルグループは、フォレスト内のどのドメインからもメンバーを持て、どのドメインでも権限を付与できる、最も広いスコープを持つ。メンバー情報はグローバルカタログに複製され、フォレスト全体へ波及する。グローバルグループ版は 4727、ローカルグループ版は 4731。

発生契機・方法

• New-ADGroup -GroupScope Universal -GroupCategory Security、Active Directory ユーザーとコンピューター（ADUC）などによるユニバーサルグループ作成。

セキュリティ上の確認事項

• ユニバーサルグループはフォレスト全体に影響するため、想定外の作成主体・グループ名は、より広い権限設計の変更として重視する。
• グループ作成だけでは権限は付かないが、直後のメンバー追加 4756 と組み合わせて、権限拡大の一連を追う。とくにフォレスト規模の高権限グループ（Enterprise Admins・Schema Admins はユニバーサルグループ）に関わる操作は要注目。

ログレビュー時の注意観点

• 正規の運用（複数ドメインをまたぐロール設計など）でも発生する。作成主体・命名規則の正常パターンと照合する。
• グローバルカタログ経由でフォレスト全体に複製されるため、影響範囲を意識してレビューする。メンバー追加 4756 と併せて読む。

主なフィールド

参考

• Microsoft Learn: Audit Security Group Management
• Ultimate Windows Security: Event ID 4754