// Nachschlagewerk

Event-IDs im Kanal Directory Service

Event-IDs aus dem Log Directory Service auf Domain Controllern: Diagnose-Events der Active-Directory-Domänendienste, etwa zu LDAP-Anmeldungen ohne Signierung.

Unsignierte LDAP-Verbindungen und Klartext-Simple-Binds sind die Grundlage für LDAP-Relay und legen Passwörter im Netz offen. Das Directory-Service-Log zeigt dir, welche Clients und Konten davon betroffen sind, und ist damit die Inventur vor dem Erzwingen von LDAP-Signierung und Channel Binding.

Das Log existiert auf jedem Domain Controller. Einige Events erscheinen erst mit erhöhter Diagnoseprotokollierung unter NTDSDiagnostics.

Alle
AppLocker
Aufgabenplanung
BITS
Defender
Directory Service
NTLM
PowerShell
Remote-Zugriff
Security
Sysmon
System
WMI

Initial Access
Execution
Persistence
Privilege Escalation
Defense Evasion
Credential Access
Discovery
Lateral Movement
Collection
Command and Control
Impact

ID	Bedeutung	Kanal	Relevanz	MITRE
2889	Unsignierte LDAP-Anmeldung am Domain Controller	Directory Service	mittel	T1557, T1040