Bagaimana mengetahui siapa yang menghapus akun di Active Directory

Kita mengetahui bahwa Active Directory merupakan salah satu sistem yang penting di sebuah Perusahaan, karena menyimpan data akun dan informasi detailnya. Jika sebuah perusahaan tidak memiliki seorang staff yang memiliki tugas khusus dalam pengelolaan sistem ini, maka kita harus mengetahui siapa saja yang sudah menghapus akun dalam sistem tersebut. Kita membutuhkan informasi log perubahan data, untuk mencegah adanya kebocoran informasi / security breach. Setelah melalui browsing di internet, akhirnya menemukan caranya dari website Netwrix dan Social Technet on Microsoft.

1. Jalankan GPMC.msc → buka “Default Domain Policy” → Computer Configuration → Policies → Windows Settings → Security Settings:
   • Local Policies → Audit Policy → Audit account management → Define → Success
   • Event Log → Define → Maximum security log size to 1gb dan Retention method for security log to Overwrite events as needed.
2. Jalankan ADSI Edit → Hubungkan dengan Default naming context → klik kanan “DC=domain name” → Properties → Security (Tab) → Advanced → Auditing (Tab) → Click “Add” → Pilih konfigurasi berikut:
   • Principal: Everyone
   • Type: Success
   • Applies to: This object and all descendant objects
   • Permissions: Delete all child objects → Click “OK”.
3. Untuk menemukan akun yang dihapus dan siapa yang melakukannya, pilih filter Security Event Log dengan Event ID 4726.

Sumber: www.netwrix.com | Tutorial on You Tube (Link)
Sumber: social.technet.microsoft.com by Santosh Bhandarkar