Zo auditeert u GPO-wijzigingen

Group Policy Objects (GPO’s) bieden manieren om beleid effectief op grote schaal toe te passen, maar dat betekent ook dat kleine fouten verstrekkende gevolgen kunnen hebben. Weten hoe u GPO-wijzigingen auditeert beschermt uw infrastructuur. En met de juiste tools voert u eenvoudig versiebeheer door en stelt u notificaties in voor continue monitoring.

Dit artikel legt uit hoe u GPO-wijzigingen controleert met ingebouwde oplossingen en belicht tools van derden voor Monitoring en beheer op afstand (RMM) die zich aanpassen aan alle behoeften van uw klanten..

Hebt u een uitgebreide gids over dit onderwerp nodig? Bekijk onze video: Zo auditeert u GPO-wijzigingen.

GPO-wijzigingen auditeren voor betere traceerbaarheid

Ingebouwde tools kunnen kosteneffectieve oplossingen bieden, maar overweeg uw toolkit uit te breiden voor meer efficiëntie en houd rekening met uw technische beperkingen voordat u auditworkflows voor klanten opzet.

📌 Vereisten:

• Beheerdersrechten
• Functionaliteitsniveaus van domein en forest die Geavanceerd auditbeleid ondersteunen
• GPMC-toegang voor beleidsbeoordeling en back-up
• SIEM- of Windows Event Collector-infrastructuur voor centralisatie van logboeken
• Een aangewezen bestandsshare of repository voor GPO-back-ups met versiebeheer
• Een template voor een wijzigingsregister en verantwoordelijken voor beoordelingen en goedkeuringen

Stap 1: schakel native auditing voor beleidswijzigingen in

IT-experts kunnen wijzigingen aan GPO’s en Organizational Units (OU’s) volgen met de ingebouwde Directory Service-auditing op domein controllers. Zo doet u dat:

📌 Toepassingen: gebruik dit om gedetailleerde logboeken van elke GPO- en OU-wijziging vast te leggen.

📌 Vereisten: Windows Server-domein controllers, Education of Pro; lokale en domeinbeheerdersrechten.

💡 Let op: deze machtigingen komen overeen met auditcategorieën die Event ID 5136 (Directory Service Object Modified) en vergelijkbare gebeurtenissen genereren.

1. Druk op een domein controller op Win + R, typ gpmc.msc en druk op Enter om de Group Policy Management Console (GPMC) te openen.
2. Maak of bewerk een GPO die is gekoppeld aan de OU Domain Controllers.
3. Ga naar:Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van auditbeleid > Auditbeleid > DS-toegang

4. Schakel het volgende beleid in:
   1. Directoryservicewijzigingen controleren → Geslaagd en/of Mislukt
   2. Beleidswijziging controleren → Geslaagd en/of Mislukt
   3. Accountbeheer controleren → Geslaagd en/of Mislukt
5. Pas de GPO toe. De instellingen worden gerepliceerd naar alle domein controllers.
6. Gebruik ADSIEDIT.msc om auditing op objectniveau te configureren:
   1. Maak verbinding met de Default Naming Context.
   2. Zoek de gewenste container op (bijvoorbeeld OU’s met gebruikersbeleid).
   3. Klik met de rechtermuisknop → Eigenschappen > tabblad Beveiliging > Geavanceerd > tabblad Controleren.
   4. Voeg een principal toe (bijvoorbeeld Domain Admins, Authenticated Users).
   5. Selecteer Geslaagd/Mislukt en vink machtigingen aan zoals:
      1. groupPolicyContainer-objecten maken
      2. Verwijderen
      3. Machtigingen wijzigen
      4. versionNumber schrijven
7. Klik op OK om op te slaan.

💡Let op:.op Windows 11 is adsiedit.msc alleen beschikbaar als RSAT (Active Directory Domain Services Tools) is geïnstalleerd via Optionele onderdelen of via Add-WindowsCapability.

De integratie van endpointoplossingen zoals NinjaOne versterkt de bescherming van uw beleid verder dan ingebouwde tools, met premiumfuncties zoals realtime notificaties en controles van de apparaatgezondheid waarmee u GPO-wijzigingen auditeert.

Stap 2: weet welke gebeurtenissen ertoe doen

Sommige gebeurtenissen zijn belangrijker dan andere wanneer u GPO-wijzigingen auditeert. U moet daarom prioriteit geven aan betekenisvolle signalen om alertmoeheid te beperken.

Gebruik deze belangrijke Event ID’s om kritieke gebeurtenissen eruit te filteren en een matrix op te stellen die uw Group Policy-audit vereenvoudigt:

• GPO-wijzigingen:
  • 4739 – Domeinbeleid gewijzigd
  • 5136 – Directory Service-object gewijzigd (inclusief GPO-bewerkingen)
• OU-wijzigingen:
  • 5137 – Directory Service-object gemaakt (OU gemaakt)
  • 5141 – Directory Service-object verwijderd (OU verwijderd)
  • 5139 – Directory Service-object verplaatst (OU verplaatst)
• Beveiligingsfilter & delegatie:
  • 4670 – Machtigingen op een object gewijzigd
  • 4732/4733 – Wijzigingen in lidmaatschap van beveiligingsgroepen (van invloed op GPO-filtering en delegatie)

Stap 3: centraliseer en bescherm de logboeken

Uw logboeken van verschillende domein controllers (DC’s) centraliseren met Windows Event Forwarding (WEF) maakt bewijsmateriaal eenvoudiger doorzoekbaar, vergroot het inzicht en versterkt uw compliance-inspanningen terwijl u GPO-wijzigingen auditeert.

📌 Toepassingen: logboekaudits stroomlijnen en forensisch onderzoek ondersteunen.

📌 Vereisten: beheerdersrechten, systemen die lid zijn van het domein, Windows Remote Management (WinRM) ingeschakeld.

1. Druk op Win + R, typ cmd en druk op Ctrl + Shift + Enter.
2. Voer wecutil qc uit om de service Windows Event Collector (WEC) in te stellen.
3. Druk op Win + R, typ eventvwr.msc en druk op Enter.
4. Vouw Abonnementen uit.
5. Klik met de rechtermuisknop en kies Abonnement maken.
6. Geef uw abonnement een naam.
7. Stel Doellogboek in op Doorgestuurde gebeurtenissen.
8. Kies een abonnementsmodus.
   1. In de meeste domeinomgevingen wordt Door bron geïnitieerd aanbevolen, tenzij u specifiek Door verzamelaar geïnitieerd gedrag nodig hebt.
9. Selecteer de gebeurtenissen die u wilt verzamelen (gebruik het tabblad XML voor geavanceerde filters).
10. Voer op uw domein controllers het volgende uit in de opdrachtprompt:

winrm qc

wecutil qc

11. Druk op Win + R, typ gpedit.msc en druk op Ctrl + Shift + Enter.
12. Ga naar:

Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Gebeurtenisdoorsturing

13. Dubbelklik op Doelabonnementsbeheer configureren.
14. Stel in op Ingeschakeld, klik op Weergeven en voeg toe:

Server=http://<CollectorFQDN>:5985/wsman/SubscriptionManager/WEC,Refresh=60

Vervang <CollectorFQDN> door de volledig gekwalificeerde domeinnaam van uw collector.

15. Voer gpupdate /force uit om het beleid toe te passen.
16. Definieer abonnementen.
    1. Basisabonnement: bevat alle devices voor algemene monitoring.
    2. Verdacht abonnement: richt zich op risicovolle of afwijkende devices voor diepgaandere logboekregistratie.
17. Gebruik PowerShell of de parsingtools van uw SIEM om velden te standaardiseren zoals:
    1. Account van de bewerker
    2. Distinguished Name (DN) van het doelobject
    3. Type wijziging
    4. Oorspronkelijke DC
18. Bewaar logboeken voor:
    1. Maandelijkse beoordelingen
    2. Kwartaalbeoordelingen
    3. Incidentonderzoeken

Stap 4: maak back-ups van GPO’s, beheer versies en vergelijk ze

Zorg voor noodmaatregelen die veilige rollbacks en overzichtelijke versiebeoordelingen voor technici mogelijk maken terwijl uw teams GPO-wijzigingen auditeren.

📌 Toepassingen: het beoordelen van GPO-wijzigingen vereenvoudigen voor technici, zodat klantrapporten sneller klaar zijn.

1. Druk op Win + R, typ gpmc.msc en druk op Enter.
2. Klik met de rechtermuisknop op Groepsbeleidsobjecten en selecteer Alles back-uppen.
3. Kies een veilige locatie (bijvoorbeeld een share met toegangsbeheer).
4. Stel een GPO-wijzigingsregister op voor controleerbaarheid
   1. Houd de GPO-naam, versie, bewerker, reden en ticket-ID bij.
5. Vergelijk de huidige instellingen met eerdere versies via de Group Policy Management Console (GPMC) voor een snelle analyse.

Stap 5: stel notificaties in voor risicovolle wijzigingen

Wanneer u GPO-wijzigingen auditeert, is tijdig handelen noodzakelijk. Volg deze beste praktijken om uw proces te optimaliseren:

Praktijk	Waarde	Voorbeeldscenario
Monitor Event ID 5136 voor GPO-wijzigingen	Waarschuwt technici wanneer er GPO-wijzigingen plaatsvinden.	Een SOC-analist houdt Logboeken in de gaten voor ongeautoriseerde wijzigingen aan wachtwoordbeleid.
Gebruik PowerShell of SIEM-tools om GUID’s aan GPO-namen te koppelen	Vertaalt ruwe gebeurtenisgegevens naar leesbare GPO-namen voor belangrijke rapporten.	Een MSP gebruikt PowerShell om GPO Globally Unique Identifiers (GUID’s) uit logboeken te koppelen aan hun herkenbare namen in rapporten.
Stel drempelwaarden voor ongebruikelijke activiteit in met een RMM	Controleert op afwijkingen zoals GPO-wijzigingen buiten kantooruren; kan het aantal wijzigingen per GPO beperken.	Een technicus stelt met NinjaOne notificaties in voor GPO-bewerkingen buiten kantooruren.
Automatiseer het aanmaken van tickets met gebeurtenisdetails en verwijzingen naar GPO-back-ups	Koppelt bruikbare notificaties aan de herstelworkflows van uw klant terwijl u GPO-wijzigingen auditeert.	Een helpdesksysteem genereert automatisch een ticket wanneer een GPO wordt gewijzigd, inclusief back-upinformatie.

Het auditeren van GPO’s speelt ook een sleutelrol bij het optimaliseren van de identiteitsinfrastructuur. Volgens een recent onderzoek van Forbes is 94% van de organisaties het eens over het belang van modernisering van Active Directory, waar continue monitoring van GPO-wijzigingen onderdeel van is.

Stap 6: breid auditing uit naar OU’s en delegatie

Organizational Units (of OU’s) bepalen de reikwijdte van uw beleid en hoe het wordt overgeërfd. Neem bij het auditeren van GPO-wijzigingen ook gebeurtenissen rond het aanmaken, verplaatsen en verwijderen van OU’s op in uw Group Policy-audit voor completere rapporten.

Dat vergroot ook de transparantie en helpt wildgroei aan machtigingen bloot te leggen. Stel een vast ritme in voor GPO- en OU-beoordelingen om te waarborgen dat het principe van minimale rechten wordt toegepast.

Integratie met NinjaOne vereenvoudigt het auditeren van OU-wijzigingen

De toonaangevende RMM van NinjaOne biedt gestroomlijnde oplossingen om de gezondheid van uw apparatenpark te volgen en beleidsafwijkingen te detecteren. Zo helpt NinjaOne u bij het auditeren van GPO-wijzigingen:

Stap	Zonder NinjaOne	Met NinjaOne
Native auditing voor beleidswijzigingen inschakelen.	Handmatige configuratie via gpedit.msc en adsiedit.msc; het auditbeleid moet op afzonderlijke DC’s worden ingesteld.	NinjaOne vergroot het inzicht in endpoints en AD-controllers met realtime logboekregistratie en notificaties.
Weten welke gebeurtenissen ertoe doen wanneer u GPO-wijzigingen auditeert.	Technici moeten belangrijke Event ID’s handmatig filteren uit een SIEM of ingebouwde tools.	Met NinjaOne definieert u uw eigen voorwaarden voor kritieke event ID’s die automatisch workflows in het ticketsysteem starten.
De logboeken centraliseren en beschermen.	Vereist herconfiguratie van WEF en handmatig bewaren van logboeken met beleidswijzigingen.	NinjaOne centraliseert het verzamelen van logboeken via SIEM-integratie (webhooks en API).
Back-ups van GPO’s maken, versies beheren en ze vergelijken.	Handmatige back-upworkflows voor GPO’s en bewerkingen in spreadsheets kunnen fouten en oplostijden vergroten.	NinjaOne automatiseert de back-up van endpoints en beleid met versiebeheer, versleuteling en deduplicatie.
Notificaties instellen voor risicovolle wijzigingen.	Vereist tijdrovende scripttests voor het detecteren van bewerkingen aan GPO-koppelingen, wijzigingen buiten kantooruren en meer.	Het ticketsysteem van NinjaOne maakt overzichtelijke workflows (versterkt door de scriptbibliotheek) op basis van uw beleidsvoorwaarden.
Auditing uitbreiden naar OU’s en delegatie.	Handmatige audits via Active Directory Gebruikers en Computers (ADUC) of PowerShell	NinjaOne legt delegatiewijzigingen en OU-aanpassingen vast in de registratie en vereenvoudigt zoeken met filterbare weergaven.

Vereenvoudig GPO-controles met endpointoplossingen

Het monitoren van GPO-wijzigingen waarborgt compliance, operationele veerkracht en traceerbaarheid. Om GPO-wijzigingen te auditeren, gebruikt u native directory- en gebeurtenislogboeken, stelt u notificaties in via uw SIEM- of monitoringtools, beoordeelt u wijzigingen aan GPO-koppelingen en -reikwijdte met Group Policy Management, neemt u OU-activiteit op voor extra context en rapporteert u belangrijke statistieken regelmatig om aan te tonen dat u in controle bent.

Gerelateerde onderwerpen:

• Wat is Group Policy in Active Directory?
• Lokaal groepsbeleid toepassen op specifieke gebruikers in Windows 11 en Windows 10
• Een overzicht van de Group Policy Management Console: wat u moet weten