Windows Server 2016 AD非人为批量删组问题及事故报告咨询

一、非人为批量删除AD组的可能原因 #

• 权限配置疏漏：域内存在其他拥有AD组删除权限的账号（比如第三方运维账号、服务账号），可能被误操作或恶意利用
• 恶意入侵/病毒攻击：攻击者获取域管理员权限后，用自动化工具批量删组；或是勒索软件、恶意程序附带的破坏性操作
• 同步工具故障：如果部署了AD同步工具（比如Azure AD Connect、第三方身份同步软件），配置错误或同步逻辑异常可能触发批量删除
• 服务账号逻辑错误：依赖AD权限的服务账号，因程序代码逻辑问题（比如循环删除逻辑写错）执行了批量删除操作
• AD复制异常：多域控制器复制过程中出现冲突，导致某DC上的删除操作被错误同步（概率较低，但需排查AD复制状态）

二、事故报告建议填写的原因 #

先填初步结论：AD域内发生非授权批量删除AD组操作，具体触发源待进一步排查，同时补充排查进展：

• 已确认操作人未执行该删除动作，无脚本使用记录
• 正在排查域内权限配置、账号登录日志、同步工具运行状态及潜在入侵痕迹
• 后续将根据排查结果更新最终原因

三、操作工具与系统Bug相关疑问 #

• 并非只有PowerShell能实现批量删除：除PowerShell外，还可以通过ADSI Edit的批量操作、ADUC（Active Directory Users and Computers）的批量删除功能、自定义程序调用AD API等方式实现，PowerShell只是常用的自动化手段之一
• 系统原生Bug可能性极低：Windows Server 2016的AD组件经过长期验证，无公开的批量删组原生Bug。这类批量操作基本都是拥有对应权限的账号主动执行的动作，优先排查权限和账号安全问题

内容的提问来源于stack exchange，提问作者Calvin