Conceito e funcionamento
O evento 4720 é associado à criação de conta de usuário, conforme geração e escopo do sistema. Para investigação, diferencie sujeito que executa a ação e alvo que foi criado. Active Directory e máquinas locais podem ter registros em lugares distintos; inventário da autoridade de identidade é essencial.
Como investigar e correlacionar
Investigue SubjectUserName, TargetUserName, domínio, origem do host e intervalo UTC. Verifique mudança aprovada, necessidade da conta, grupos atribuídos e atividade posterior. Procure eventos de alteração de privilégios e autenticação usando chaves de correlação e timestamps coerentes.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Uma automação de provisionamento cria conta de laboratório e outro ator cria uma conta fora da janela de mudanças.
Procedimento orientado
Localize 4720 nas fontes adequadas, separe sujeito e alvo, compare change request e verifique inclusão posterior em grupos.
Resultado esperado
O resultado apresenta autor da operação observada, conta criada e evidências independentes antes de concluir qualquer intenção adversária.
Cuidados adicionais
A criação de conta nem sempre significa obtenção de privilégios; a revisão deve verificar operações posteriores.
Limitações e interpretações incorretas
A criação de conta pode fazer parte de provisionamento legítimo; evento isolado não comprova persistência adversária. Controles de GPO, IAM híbrido e serviços de sincronização podem produzir atividade administrativa esperada.
Checklist de validação
- Confirmar escopo do domínio
- Identificar autor e conta criada
- Consultar autorização formal
- Verificar privilégios subsequentes
Referências técnicas
Guias para aprofundar
- eventos windows sysmon — aguardando publicação editorial