イベントログ：ポリシーの変更

リファレンス：Policy Change

「ポリシーの変更」監査は、システムのセキュリティポリシーや監査ポリシーが変更されたときに記録するカテゴリです。簡単に言うと、誰が、いつ、どのポリシーを変更したかを追跡するための監査です。

攻撃者は、痕跡を隠すために監査ポリシーを無効化したり、セキュリティ設定を変更することがあります。
注目すべきポイントは：

1. 監査ポリシーの無効化
   • イベント 4719（監査ポリシー変更）
     → ログを残さないようにする試み
2. ドメインポリシーの改ざん
   • イベント 4739
     → パスワードポリシーやKerberos設定の変更
3. オブジェクト監査設定の変更
   • イベント 4907
     → 特定ファイルやADオブジェクトの監査を外す

攻撃検知には、以下の設定を行います。