יוזר שננעל

[navnad]

יוזר שננעל

שלום וברכה
סביבת עבודה:
AD server 2008\2012
מחשבים win7/win8
סמארטפון androaid
יש לי יוזר שביומיים האחרונים ננעל מחוץ למחשב שלו כל כמה זמן (רנדומלית, לעיתים אחרי חצי שעה לעיתים אחרי 3 שעות)
חשדתי שיש סמארטפון שמנסה להכנס עם סיסמה ישנה, הסרתי את כל הסמארטפון מהממשק בשרת דואר,
האם יש אפשרות לראות מאיזה מחשב\מכשיר בוצע logon?
תודה

 

[אורי גיל]

חפש איוונטים מספר 4740 ב-Security Log של ה-DCs.

שם המחשב יופיע ב-Message אם אני זוכר נכון.

 

[lilimeshi]

מה הגורם שנועל אותו?

פוליסי כלשהו? תוכנת צד שלישי? waf כלשהו?

 

[navnad]

אני לא יודע מה נועל אותו, אני עדיין מחפש

זה הלוג שאני מקבל על השרת event 4771
שם המשחב שמופיע שם הוא השרת שנעל אותו, ולא איזה מחשב\סמארטפון ניסה לבצע התחברות שגויה
Kerberos pre-authentication failed.
Account Information:
Security ID: Bbbb\Mm
Account Name: Mm
Service Information:
Service Name: krbtgt/Bbbb
Network Information:
Client Address: ::ffff:10.124.6.1
Client Port: 50965
Additional Information:
Ticket Options: 0x40810010
Failure Code: 0x18
Pre-Authentication Type: 2
Certificate Information:
Certificate Issuer Name:
Certificate Serial Number:
Certificate Thumbprint:
Certificate information is only provided if a certificate was used for pre-authentication.
Pre-authentication types, ticket options and failure codes are defined in RFC 4120.
If the ticket was malformed or damaged during transit and could not be decrypted, then many fields in this event might not be present.​

 

[lilimeshi]

תוריד את זה

https://cyberarms.net/download-pricing/licensing-download/free-download.aspx
&nbsp
תפעיל שם את הSERVICE השונים
זה אמור לספר לך (כי הוא יחסום את הIP הכושל בזיהוי) מי הIP הבעייתי (חיצוני או פנימי)

 

[skepper]

Netwrix Account Lockout Examiner

Netwrix Account Lockout Examiner
&nbsp
עושה את העבודה נאמנה

 

[navnad]

תודה, נבדוק מחר