Windows 2008 R2 系统被人入侵，删除了组策略，求系统日志ID

Posted 2023-03-30

近日，我公司Windows 2008 R2 域控系统被控制，并且删除了组策略，造成大面积电脑不受域策略控制。求解，根据系统日志如何查到是谁删除的？还有能否查出来有谁添加过新策略？？？

求大神 解答！

参考技术A

域服务器断网，但不重启电脑（用procexp）


查看是否有木马或者攻击进程，获取蛛丝马迹

查看系统日志（不过如果你没有设定好日志策略，估计也没有了），如果黑客没清空日志，你应该可以从事件查看器中看到记录

检查你的域服务器是否有后门用户

检查域服务器安全漏洞，找出被黑的入口，修复系统，更新安全补丁

全盘扫描系统文件及其签名，看是否有篡改，并杀毒

检查系统自启动程序（使用autoruns），文件关联

域服务器这么重要的节点，你们安全性做的不够，IT部门面壁去