author: Zach Mathis
creation_date: 2020/11/08
updated_date: 2021/11/26

title: User added to the global Domain Admins group
title_jp: ユーザがグローバルドメイン管理者グループに追加された
output: 'Member added: %MemberName%  :  SID: %MemberSid%  :  Group: %TargetUserName%  :  Subject user: %SubjectUserName%  :  Subject domain: %SubjectDomainName%'
output_jp: '追加されたメンバー: %MemberName%  :  SID: %MemberSid%  :  グループ: %TargetUserName%  :  サブジェクトユーザ: %SubjectUserName%  :  サブジェクトドメイン: %SubjectDomainName%'
description: A user was added to the Domain Admins group. 
description_jp: ユーザがドメイン管理者グループに追加された。

id: 4bb89c86-a138-42a0-baaf-fc2f777a4506
level: high
status: stable
detection:
    selection:
        Channel: Security
        EventID: 4728
        TargetUserName: Domain Admins
    filter:
        SubjectUserName|endswith: $
    condition: selection and not filter
falsepositives:
    - system administrator
tags:
    - attack.persistence
    - attack.t1098
references:
    - https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventID=4728
sample-evtx: ./sample-evtx/EVTX-to-MITRE-Attack/TA0003-Persistence/T1098.xxx-Account manipulation/ID4728-Massive account group membership change.evtx
ruletype: hayabusa