Windows イベント ID 4730: グローバルグループの削除

セキュリティ有効なグローバルグループ（ドメイングループ）が削除されたときに記録される。ドメインコントローラでのみ発生し、グループ単位の権限設計の変更を捉える。

概要

サブカテゴリは Audit Security Group Management。グローバルグループが削除されると生成され、ドメインコントローラでのみ記録される。作成 4727 と対で、ドメイングループのライフサイクルを追う。ローカルグループ版は 4734。

発生契機・方法

• net group "<name>" /delete /domain、Active Directory ユーザーとコンピューター（ADUC）、Remove-ADGroup などによるグループ削除。

セキュリティ上の確認事項

• 権限付与に使われていたグループの削除は、アクセス制御の構成変更を意味する。正規グループの削除は、関連する権限・アクセスの喪失につながるため確認する。
• 攻撃者が一時的に作ったグループ（4727）を後始末として削除する場合もある。作成・メンバー追加 4728 の履歴と突き合わせる。

ログレビュー時の注意観点

• DC で正規の整理・棚卸しとしても発生する。削除対象グループ・実施主体の正常パターンと照合する。
• 削除でメンバー情報が失われるため、削除前のメンバー追加/削除ログ（4728 / 4729）と併せて、そのグループが何だったかを再構成する。

主なフィールド

参考

• Microsoft Learn: Audit Security Group Management
• Ultimate Windows Security: Event ID 4730