# Thu thập và xem sự kiện bảo mật AD

Canonical: https://www.nsecsoft.com/vi/docs/ping64-identity-access/ad-domain/audit/security-events/

Language: vi-VN

Updated: 2026-11-15T04:10:51.05314Z

Kiểm toán sự kiện bảo mật AD hiển thị các sự kiện xác thực, thay đổi tài khoản và thư mục được thu thập từ nhật ký bảo mật của bộ điều khiển miền. Nội dung này khác **Platform Operations**, nơi ghi lại thao tác miền do quản trị viên thực hiện qua Ping64: sự kiện bảo mật phụ thuộc vào dữ liệu bộ điều khiển tạo và hệ thống thu thập, còn bản ghi nền tảng phản ánh quá trình thao tác. Hai nguồn không thay thế nhau.

## Chuẩn bị trước khi cấu hình

1.  Xác nhận giấy phép quản lý miền AD và quyền xem, sửa cấu hình thu thập của quản trị viên; thu thập thủ công cần thêm quyền thao tác tương ứng. Hoàn tất [kết nối miền](https://www.nsecsoft.com/vi/docs/ping64-identity-access/ad-domain/domain-connection/domain-connection/), xác nhận miền đích đã bật, thông tin kết nối đúng và có môi trường Windows khả dụng cho kết nối miền.
2.  Cùng quản trị viên miền xác nhận có thể kết nối tới bộ điều khiển đích và tài khoản kết nối có quyền đọc nhật ký bảo mật. Theo yêu cầu kiểm toán Windows của tổ chức, xác nhận bộ điều khiển ghi lại sự kiện cần thiết. Chọn phạm vi thu thập trong Ping64 không chứng minh bộ điều khiển đã tạo các sự kiện đó.
3.  Xác định miền, loại sự kiện, thời hạn lưu giữ và yêu cầu riêng tư. Cấu hình thu thập được đặt theo từng miền; đánh giá ảnh hưởng tới việc thu thập và lưu trữ hiện tại trước khi sửa. Nếu cần giữ dữ liệu sự kiện gốc, xác nhận trước phê duyệt và yêu cầu lưu giữ; xem bằng chứng gốc cũng cần quyền thao tác tương ứng.

## Cấu hình thu thập

1.  Trong quản lý miền AD, mở **Audit Events > Security Events** và chọn **Collection Config**. Trong thông tin cơ bản, chọn **Source Domain** đã bật và kiểm tra **Collection Interval (sec)** cùng **Batch Size**. Với miền mới, thu thập sự kiện bảo mật ban đầu bị tắt, khoảng thời gian là 300 giây và kích thước lô là 500. Miền hiện có có thể khác; kiểm tra giá trị trên màn hình.
2.  Trong **Security Event Audit**, bật **Enable Security Event Collection** và chọn ít nhất một phạm vi phù hợp mục tiêu. Ví dụ chọn **Authentication audit** để kiểm tra đăng nhập hoặc **Account change audit** để kiểm tra thay đổi người dùng. Các lựa chọn xác định phạm vi thu thập, không thay thế cấu hình kiểm toán của bộ điều khiển miền.
3.  Kiểm tra theo nhu cầu có bật **Keep original event data** hay không rồi lưu. Mở lại và xác nhận miền nguồn, công tắc và phạm vi đã chọn. Lưu thành công không có nghĩa tác vụ thu thập đã chạy hoặc bản ghi đã được tạo.
4.  Để xác minh ngay, kiểm tra miền nguồn trong thông tin cơ bản của cấu hình thu thập và chọn **Run collection**. Sau khi gửi, xem trạng thái và kết quả trong **Collection Runs**. Tác vụ có thể chờ, đang chạy hoặc thất bại; gửi thành công không phải hoàn tất thu thập. Không gửi lặp lại khi chưa xác nhận trạng thái.

Khoảng thu thập được lưu giới hạn từ `60` đến `86400` giây (1 phút đến 24 giờ); giá trị gửi thấp hơn hoặc cao hơn sẽ được điều chỉnh về giới hạn tương ứng. Kích thước lô được lưu từ `1` đến `2000`: nếu gửi giá trị dưới `1` thì điều chỉnh thành `500`, trên `2000` thì điều chỉnh thành `2000`. Phạm vi gợi ý ở ô nhập có thể khác kết quả được lưu, vì vậy hãy mở lại cấu hình sau khi lưu để kiểm tra. Khoảng thu thập và kích thước lô không bảo đảm sự kiện hiển thị đúng theo khoảng đó hoặc một lần chạy xử lý hết các bản ghi tồn đọng.

## Xác minh và xem

1.  Trong môi trường thử nghiệm được phép, thực hiện thao tác nhận diện được và phù hợp phạm vi, chẳng hạn đăng nhập một lần bằng tài khoản thử nghiệm. Ghi lại thời gian thực tế, bộ điều khiển miền và tài khoản. Không dùng tài khoản sản xuất để gây khóa hoặc sự kiện phá hủy.
2.  Khi sự kiện đã phát sinh và thu thập hoàn tất, chọn ngày, miền và các bộ lọc phù hợp trong **Security Events**, tìm kiếm và mở chi tiết. Đối chiếu thời gian, bộ điều khiển, tài khoản, loại sự kiện và kết quả với thao tác thực tế; kiểm tra các trang khác nếu cần.
3.  Trong **Audit Events**, mở báo cáo xác thực đăng nhập, thay đổi tài khoản hoặc nhóm khi cần và phân tích phạm vi báo cáo cùng chi tiết sự kiện. Bản ghi xác thực chỉ phản ánh hoạt động do các bộ điều khiển được thu thập ghi lại, không phải toàn bộ đăng nhập cục bộ trên mọi máy chủ thành viên hoặc máy trạm.
4.  Nếu điều tra thay đổi miền do Ping64 khởi tạo, xem thêm bản ghi tương ứng tại **Audit Events > Platform Operations** và đối chiếu riêng thời gian gửi, đối tượng đích và kết quả thực thi với sự kiện bảo mật. Thao tác nền tảng thành công không chứng minh sự kiện trên bộ điều khiển đã được tạo hoặc thu thập.

## Tra cứu sự kiện xác thực và đối tượng thư mục

Các mục này lần lượt xem xác thực, rủi ro đăng nhập, thay đổi tài khoản và đối tượng thư mục. Login Risks tập trung vào một số lỗi xác thực, không chứng minh tài khoản bị xâm nhập. Thay đổi thành viên nhóm và thay đổi chính nhóm là hai mục riêng.

1.  Cấu hình thu thập sự kiện bảo mật cho miền theo hướng dẫn trên; chọn phạm vi phù hợp với việc điều tra xác thực, rủi ro đăng nhập, tài khoản, mật khẩu, tài khoản máy tính, thành viên nhóm, nhóm hoặc OU. Kiểm tra bộ điều khiển miền tạo nhật ký và tài khoản kết nối có quyền đọc; lưu rồi kiểm tra các lần thu thập.
2.  Trong AD Domain Management > Audit Events, chọn Authentication, Login Risks, Account Changes, Password Operations, Computer Account Changes, Group Membership Changes, Group Changes hoặc OU Changes theo mục tiêu.
3.  Chọn miền và ngày, dùng các bộ lọc tài khoản, đối tượng đích, bộ điều khiển miền, thao tác hoặc kết quả mà trang cung cấp. Mở chi tiết và đối chiếu thời gian, đối tượng, kết quả có sẵn cùng bằng chứng khác. Bộ lọc và chi tiết khác nhau theo mục.
4.  Nếu không tìm thấy, kiểm tra riêng nhật ký bộ điều khiển, phạm vi và lần thu thập, quyền, ngày và bộ lọc. Danh sách trống không chứng minh không có thao tác hay đã bao phủ mọi bộ điều khiển và giai đoạn lịch sử. Phải được phê duyệt trước khi thử nghiệm; không thay đổi tài khoản hoặc thư mục sản xuất chỉ để tạo sự kiện.

## Xem thay đổi GPO

Báo cáo thay đổi GPO kết hợp kết quả so sánh thư mục, thiết lập chính sách và sự kiện bảo mật đã thu thập để hỗ trợ điều tra. Báo cáo không chứng minh thiết bị đã áp dụng chính sách hoặc bao phủ mọi thao tác trước đây.

1.  Theo phần cấu hình thu thập ở trên, bật thu thập sự kiện bảo mật cho miền đích và chọn **GPO change audit**. Xác nhận bộ điều khiển miền tạo sự kiện theo yêu cầu kiểm toán, tài khoản kết nối có quyền đọc và việc thu thập hoạt động. Lưu cấu hình không có nghĩa là đường cơ sở so sánh và bản ghi thay đổi đã sẵn sàng.
2.  Trong **AD Domain Management > Audit Events**, chọn **GPO Changes**. Kiểm tra miền, ngày và bộ lọc; khoảng ngày cục bộ ban đầu từ hai ngày trước đến hôm nay. Khi cần, thu hẹp bằng từ khóa, bộ điều khiển miền nguồn, loại thay đổi và trạng thái phân tích.
3.  Xem riêng **Setting changes**, **Scope and permissions** và **Properties and lifecycle**. Chuyển thẻ sẽ đặt lại bộ lọc, vì vậy hãy kiểm tra lại miền, ngày và các điều kiện khác. Danh sách trống ở một thẻ không chứng minh các thẻ khác không có bản ghi.
4.  Mở **Details**, đối chiếu thời gian, đối tượng, khác biệt trước và sau có sẵn cùng bằng chứng liên quan. Khi có thể, xem **History** của mục thiết lập. Một số nội dung có thể không được phân tích hoặc hiển thị đầy đủ; hãy đối chiếu sự kiện gốc, cấu hình chính sách thực tế và bằng chứng khác.
5.  Nếu đang khởi tạo hoặc thiếu thay đổi thiết lập, kiểm tra việc thu thập và tạo đường cơ sở, rồi thực hiện thay đổi thử nghiệm có kiểm soát, được phép và chờ thu thập. Đường cơ sở ban đầu không thể tái tạo mọi thay đổi trước đó; lỗi thu thập, quyền, khoảng ngày và việc dọn bản ghi cũng có thể ảnh hưởng kết quả.

## Cấu hình và xem thay đổi DNS

Thay đổi DNS dùng nguồn nhật ký DNS Audit riêng, không cùng công tắc với thu thập sự kiện bảo mật của bộ điều khiển miền. Xác nhận với quản trị viên miền rằng máy chủ Windows DNS tạo nhật ký cần thiết, môi trường thực thi kết nối được máy chủ và tài khoản kết nối miền có quyền đọc nhật ký. Đây không phải cấu hình DNS Zero Trust hay danh sách đầy đủ truy vấn DNS.

1.  Trong quản lý miền AD, mở sự kiện bảo mật từ Audit Events và chọn “Collection Config”. Trong thông tin cơ bản, chọn miền nguồn, chọn kiểm toán DNS rồi bật “Enable DNS Audit log collection”.
2.  Nhập máy chủ tại “DNS servers”, phân cách nhiều máy bằng dấu phẩy như ví dụ trên trang. Trong “DNS event categories”, chọn ít nhất một loại như “Record changes” và các loại khác theo nhu cầu. Lưu, mở lại cấu hình và kiểm tra miền, công tắc, máy chủ và loại sự kiện.
3.  Chọn “Test source” trong thao tác máy chủ; kiểm tra khả năng kết nối, kênh kiểm toán và quyền đọc của từng máy. Kết quả đạt chỉ xác nhận các điều kiện tại thời điểm kiểm tra, không chứng minh sự kiện đã được tạo, thu thập hay lưu giữ đầy đủ. Để kiểm tra thu thập, chạy thu thập thủ công trong thông tin cơ bản rồi kiểm tra trạng thái và kết quả lượt chạy.
4.  Trong môi trường thử được phép, thay đổi một bản ghi DNS được kiểm soát và ghi lại thời gian, máy chủ. Sau khi sự kiện được tạo và thu thập xong, mở “DNS Changes” trong Audit Events, lọc theo miền, ngày, máy chủ, tên bản ghi và điều kiện phù hợp rồi xem chi tiết. Nếu không thấy, kiểm tra việc tạo sự kiện, máy chủ, loại, thử nguồn, lượt thu thập, lưu giữ nhật ký và bộ lọc. Danh sách trống không tự chứng minh không có thay đổi.

Không tùy tiện đặt lại vị trí thu thập để xử lý sự cố: thao tác này thay đổi điểm bắt đầu thu thập tiếp theo và có thể ảnh hưởng phạm vi lịch sử. Đánh giá theo quy trình tổ chức và kiểm tra xác nhận trước khi thực hiện. Thu thập và truy vấn không thay đổi cấu hình DNS; dùng quy trình quản trị DNS được phép để sửa bản ghi.

## Cấu hình và xem thao tác của tài khoản đặc quyền

Báo cáo này đối chiếu các sự kiện quản trị đã thu thập với phạm vi thành viên đặc quyền tại thời điểm xảy ra sự kiện. Đây không phải công tắc thu thập riêng hay bản ghi đầy đủ mọi hoạt động đặc quyền. Trước tiên cấu hình thu thập sự kiện bảo mật của miền theo hướng dẫn trên và chọn phạm vi tương ứng với thao tác cần kiểm tra. DNS Audit là nguồn riêng; không giả định bản ghi của nguồn này xuất hiện trong báo cáo. Cấu hình và tra cứu thay đổi DNS riêng theo hướng dẫn trên. Xác nhận người dùng và nhóm thư mục đã đồng bộ, đồng thời dùng tài khoản có quyền xem sự kiện, cấu hình phạm vi và quyền thao tác cần thiết.

1.  Trong AD Domain Management > Audit Events, mở Privileged Account Operations, chọn miền rồi mở Privileged Account Scope. Kiểm tra các chủ thể đặc quyền tích hợp và trạng thái phân giải; không thể xóa chủ thể tích hợp.
2.  Để mở rộng phạm vi, chọn Add Custom Privileged Principal, tìm nhóm bảo mật hoặc người dùng đã đồng bộ theo tên hoặc tài khoản, chọn và xác nhận. Kiểm tra phạm vi, chọn Validate và sau khi thành công chọn Save. Xác thực không đồng nghĩa đã lưu; cần xác thực lại sau khi thay đổi.
3.  Quay lại trang phạm vi để kiểm tra trạng thái ảnh chụp thành viên. Để cập nhật thành viên của phạm vi đã lưu, quản trị viên có quyền thao tác có thể chọn Refresh Member Snapshot. Thao tác này dùng phạm vi đã lưu, không thay thế việc lưu các thay đổi đang chờ. Nếu thất bại, kiểm tra kết nối miền, đồng bộ thư mục, quyền tài khoản kết nối và thông báo trên trang.
4.  Trong môi trường thử nghiệm được phép, cho tài khoản thuộc phạm vi thực hiện thao tác quản trị đã phê duyệt và chờ tạo, thu thập sự kiện. Trong báo cáo, lọc theo miền, ngày, tài khoản, loại thao tác hoặc nguồn đặc quyền rồi mở chi tiết. Hệ thống đối chiếu thời điểm sự kiện với khoảng hiệu lực thành viên đã ghi nhận; chỉ dựa vào thành viên hiện tại không thể giải thích kết quả lịch sử. Không bảo đảm khôi phục sự kiện trước khi công bố phạm vi hoặc khi thiếu ảnh chụp.
5.  Nếu thiếu kết quả, kiểm tra riêng việc tạo sự kiện bảo mật tương ứng trên bộ điều khiển miền, phạm vi và trạng thái thu thập, tư cách thành viên hợp lệ của tài khoản thực hiện, ảnh chụp, ngày và bộ lọc. Kết quả trống không chứng minh không có thao tác hoặc đã bao phủ mọi bộ điều khiển và thời gian trước đây.

## Kiểm tra thay đổi chính sách miền

Mục này kiểm tra sự kiện thay đổi chính sách cấp miền đã thu thập, chẳng hạn mật khẩu và khóa tài khoản, với mã `4739`. Mục này khác với thay đổi GPO và không chứng minh chính sách đã áp dụng trên mọi thiết bị.

1.  Cấu hình thu thập sự kiện bảo mật như trên và chọn phạm vi Domain policy change audit. Xác nhận bộ điều khiển tạo sự kiện, tài khoản kết nối có quyền đọc và kiểm tra kết quả thu thập sau khi lưu.
2.  Trong sự kiện kiểm toán của quản lý miền AD, mở Policy Change Audit. Chọn miền và ngày, nhập tài khoản sự kiện, bộ điều khiển hoặc điều kiện khác nếu cần rồi thực hiện truy vấn.
3.  Mở chi tiết, đối chiếu thời gian, miền đích, tài khoản sự kiện và giá trị chính sách có sẵn với thay đổi đã phê duyệt và cài đặt miền thực tế. Chi tiết chỉ hiển thị giá trị có trong sự kiện; không mặc định có đầy đủ giá trị trước và sau.
4.  Nếu thiếu sự kiện, kiểm tra nhật ký bộ điều khiển, phạm vi và trạng thái thu thập, quyền, ngày và bộ lọc. Kết quả rỗng không chứng minh không có thay đổi. Thử nghiệm cần được quản trị viên miền phê duyệt; không tùy ý đổi chính sách sản xuất chỉ để tạo bản ghi.

## Kiểm tra sự kiện khôi phục đối tượng AD

Mục này tra cứu các sự kiện khôi phục đối tượng thư mục đã thu thập, mã `5138`; trang không thực hiện khôi phục. Một sự kiện không chứng minh quan hệ thành viên, quyền và trạng thái nghiệp vụ đều đã được khôi phục.

1.  Cấu hình thu thập sự kiện bảo mật như trên và chọn phạm vi AD object restore audit. Xác nhận bộ điều khiển tạo sự kiện, tài khoản kết nối có quyền đọc và kiểm tra kết quả thu thập sau khi lưu.
2.  Trong sự kiện kiểm toán của quản lý miền AD, mở Object Restores. Chọn miền và ngày; nhập đối tượng đích, tài khoản thao tác, bộ điều khiển hoặc điều kiện khác nếu cần rồi truy vấn.
3.  Mở chi tiết, đối chiếu loại đối tượng, tài khoản, thời gian và vị trí thư mục trước và sau khôi phục khi có với thao tác đã phê duyệt và trạng thái hiện tại. Kiểm tra thành viên, quyền và khả năng dùng ứng dụng theo quy trình được phép.
4.  Nếu thiếu sự kiện, kiểm tra việc tạo và lưu nhật ký trên bộ điều khiển, phạm vi và trạng thái thu thập, quyền, ngày và bộ lọc. Kết quả rỗng không chứng minh không có khôi phục. Không xóa hoặc khôi phục đối tượng sản xuất chỉ để thử nghiệm.

## Kiểm tra sự kiện xóa nhật ký bảo mật

Mục này kiểm tra sự kiện xóa nhật ký bảo mật của bộ điều khiển miền đã được thu thập, khác với tác vụ dọn dữ liệu của nền tảng. Mã sự kiện là `1102`. Một bản ghi xóa không chứng minh mọi sự kiện trước đó đã được thu thập và không khôi phục nhật ký đã xóa.

1.  Cấu hình thu thập sự kiện bảo mật cho miền theo hướng dẫn trên và chọn phạm vi Security Log Clearing. Xác nhận bộ điều khiển tạo sự kiện và tài khoản kết nối có quyền đọc; kiểm tra kết quả chạy sau khi lưu.
2.  Trong sự kiện kiểm toán của quản lý miền AD, mở Security Log Clearing, chọn miền và ngày. Nếu cần, nhập tài khoản sự kiện hoặc bộ điều khiển miền rồi nhấn Enter hoặc rời ô để áp dụng bộ lọc. Mở chi tiết để kiểm tra thời gian, bộ điều khiển và thông tin tài khoản có sẵn.
3.  Khi có kết quả, điều tra nguyên nhân và bảo vệ bằng chứng khác theo quy trình bảo mật. Nếu rỗng, kiểm tra nhật ký bộ điều khiển, phạm vi và trạng thái thu thập, quyền và thời gian. Không xóa nhật ký sản xuất để thử nghiệm hoặc coi kết quả rỗng là bằng chứng không có việc xóa.

## Kiểm tra thay đổi quyền thư mục

Mục này kiểm tra các sự kiện thay đổi quyền đối tượng thư mục đã thu thập, mã `5136`. Mục này không bao phủ mọi thay đổi quyền tệp, ứng dụng hoặc quyền khác và không trực tiếp tính quyền hiệu lực cuối cùng của người dùng trên đối tượng.

1.  Cấu hình thu thập sự kiện bảo mật như trên và chọn phạm vi Directory permission change audit. Xác nhận bộ điều khiển tạo sự kiện, tài khoản kết nối có quyền đọc và kiểm tra lần thu thập sau khi lưu.
2.  Trong sự kiện kiểm toán của quản lý miền AD, mở Permission Changes. Chọn miền và ngày, nhập đối tượng đích, tài khoản thao tác, bộ điều khiển hoặc điều kiện khác nếu cần rồi truy vấn.
3.  Mở chi tiết, đối chiếu thời gian, đối tượng, tài khoản, trạng thái liên kết và các mục kiểm soát truy cập được thêm hoặc xóa khi có với thay đổi đã phê duyệt và quyền thư mục thực tế.
4.  Nếu thiếu thông tin liên kết, thiếu dữ liệu trước hoặc sau hoặc nội dung không phân tích được, khác biệt hiển thị có thể không đầy đủ; khác biệt rỗng không chứng minh quyền không thay đổi. Nếu không có bản ghi, kiểm tra nhật ký bộ điều khiển, phạm vi và lần thu thập, quyền và bộ lọc. Thử nghiệm cần quản trị viên miền phê duyệt; không đổi quyền sản xuất chỉ để tạo bản ghi.

## Kiểm tra thay đổi cấu hình AD

Mục này kiểm tra các sự kiện đã thu thập về cấu hình thư mục, lược đồ, site và vai trò FSMO, tách biệt với chính sách miền, GPO và thao tác nền tảng. Bản ghi chỉ phản ánh sự kiện đã thu thập và nhận diện, không chứng minh lịch sử đầy đủ hay mọi bộ điều khiển đã đồng bộ.

1.  Cấu hình thu thập sự kiện bảo mật như trên và chọn AD configuration change audit. Xác nhận sự kiện được tạo, tài khoản kết nối có quyền đọc và kiểm tra lần thu thập sau khi lưu.
2.  Trong sự kiện kiểm toán quản lý miền AD, mở Configuration Change Audit. Chọn miền và ngày; truy vấn theo vùng cấu hình, loại thay đổi, đối tượng, tài khoản thao tác hoặc điều kiện có sẵn khi cần.
3.  Mở chi tiết, đối chiếu vùng, loại, đối tượng, thuộc tính, vị trí thư mục và trạng thái liên kết có sẵn với thay đổi đã phê duyệt và trạng thái hiện tại. Trường hoặc liên kết có thể thiếu; trường rỗng không chứng minh không có thay đổi.
4.  Nếu thiếu bản ghi, kiểm tra nhật ký bộ điều khiển, phạm vi và lần thu thập, quyền, ngày và bộ lọc. Thử nghiệm cần quản trị viên miền phê duyệt; không thay đổi cấu hình sản xuất chỉ để tạo bản ghi.

## Khi thiếu kết quả

-   Kiểm tra miền nguồn, ngày, bộ lọc và trang; xác nhận công tắc thu thập, phạm vi chọn, trạng thái chạy và lỗi của miền đích.
-   Trên bộ điều khiển, kiểm tra sự kiện mong đợi có thực sự phát sinh và còn trong nhật ký hay không. Kiểm tra quyền tài khoản kết nối, khả năng truy cập và môi trường chạy. Sự kiện không được tạo, nhật ký bị xóa hoặc ghi đè, thiếu quyền, lỗi thu thập hoặc tồn đọng có thể gây thiếu hoặc chậm dữ liệu.
-   Bản ghi thu thập, sự kiện xóa nhật ký và số liệu thống kê không tự chứng minh lịch sử nhật ký đầy đủ. Không tự ý giảm yêu cầu kiểm toán của bộ điều khiển khi xử lý sự cố hoặc đổi phạm vi, và không coi việc dọn bản ghi là cách khôi phục dữ liệu lịch sử.