Conceito e funcionamento
O 4732 registra a inclusão de um membro em grupo local habilitado para auditoria. O risco depende do grupo, identidade afetada, permissões e finalidade do host. Nem toda associação confere acesso administrativo global; alguns grupos são operacionais ou aplicativos.
Como investigar e correlacionar
Identifique Subject, TargetSid, MemberSid, nome do grupo e host. Cruze com inventário de privilégios, conta criada recentemente, janela de manutenção e registros de login. Para grupos sensíveis, avalie alterações correlatas e se uma identidade humana ou serviço executou a operação.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Durante onboarding, uma identidade é adicionada a grupo operacional; outra recebe inclusão inesperada em grupo privilegiado.
Procedimento orientado
Consulte evento 4732 com SID, grupo e ator; compare permissões reais, janela de manutenção e aprovação de alteração.
Resultado esperado
Uma boa triagem identifica qual grupo oferece privilégio, se houve autenticação subsequente e qual responsável deve revisar a mudança.
Cuidados adicionais
Nomes e SIDs podem ser confundidos em ambientes com grupos e domínios diversos.
Limitações e interpretações incorretas
Em controladores de domínio e grupos de outro escopo, IDs diferentes podem ser necessários. Nome textual pode mudar enquanto SID permanece estável. Não suponha que eventos de uma única estação capturem todas as alterações.
Checklist de validação
- Revisar SID e tipo de grupo
- Confirmar privilégio efetivo
- Localizar ator e evento original
- Relacionar com mudança aprovada
Referências técnicas
Guias para aprofundar
- eventos windows sysmon — aguardando publicação editorial