Jump to content

Herausfinden auf welchem Host ein Account gesperrt wurde


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo zusammen,

 

ich habe folgendes Problem:

 

Wir betreiben eine Domäne mit zwei W2K8 R2 Standard Domänencontrollern. In dieser Domäne gibt es mehrere Benutzer die sich darüber beklagen das sich ihre Accounts in unregelmäßigen Abständen aus nicht erklärlichen Gründen sperren.

 

Nun würde ich gerne herausfinden auf welchem Host und zu welcher Zeit ein entsprechender Account gesperrt wurde.

 

Gibt es da ein Tool für und wenn ja wo bekomme ich dieses bzw. wie wird es bedient.

 

Ich hoffe ihr könnt mir bei meinem Problem weiterhelfen.

 

Viele Grüße

 

pj1986

Link zu diesem Kommentar
Hi pj1986, willkommen an Bo(a)rd, :)

 

schau einmal hier hinein: Account Lockout Tools

 

Viele Grüße

olc

 

Erstmal vielen dank für die nette Begrüßung an Bo(a)rd :-P

 

Das Tool habe ich bei meiner Suche auch schon gefunden, jedoch muss ich ehrlich zugeben das ich nicht genau weiß wie ich es einstellen muss. Ich kann damit zwar herausfinden das der entsprechende Account gesperrt ist und welcher DC den Account gesperrt hat, jedoch habe ich es bis jetzt noch nicht geschafft auch eine Aussage darüber zu bekommen auf welchem Clientrechner die Fehlanmeldungen waren.

Link zu diesem Kommentar
Hi,

 

such mal am DC im Sicherheits Protokoll nach EventID 4776.

Vorausgesetzt das solche Ereignisse protokolliert werden.

 

Danke für die schnelle Antwort. Ich habe gerade mal nach der EventID gefiltert, jedoch wird leider mein Testaccount den ich kurz vorher absichtlich gesperrt habe nicht angezeigt. Wo müsste ich denn die Protokollierung einstellen? Also in welcher GP?

Link zu diesem Kommentar

Hi,

 

Kurzfassung: LockoutStatus.exe, den sperrenden DC prüfen und dort ins Eventlog schauen. ;)

 

Langfassung: Ein DC Deiner Umgebung sperrt den Account. Auf diesem DC ist die Information von welchem Client die Fehleingabe initiiert wurde im Security Eventlog gespeichert.

 

Der PDCe bekommt die Information, und loggt sie ebenfalls im Ereignisprotokoll Security, jedoch steht hier anstatt des auslösenden Clients der DC, der den Account gesperrt hat.

 

Du benötigst also die Information vom sperrenden DC (Lockoutstatus.exe gibt Dir diese Information sehr übersichtlich) und dort schaust Du ins Security Eventlog (die Zeit, die Du Dir anschauen mußt, siehst Du auch in Lockoutstatus.exe --> Last BadPwd).

 

Viele Grüße

olc

Link zu diesem Kommentar
Hi,

 

Kurzfassung: LockoutStatus.exe, den sperrenden DC prüfen und dort ins Eventlog schauen. ;)

 

Langfassung: Ein DC Deiner Umgebung sperrt den Account. Auf diesem DC ist die Information von welchem Client die Fehleingabe initiiert wurde im Security Eventlog gespeichert.

 

Der PDCe bekommt die Information, und loggt sie ebenfalls im Ereignisprotokoll Security, jedoch steht hier anstatt des auslösenden Clients der DC, der den Account gesperrt hat.

 

Du benötigst also die Information vom sperrenden DC (Lockoutstatus.exe gibt Dir diese Information sehr übersichtlich) und dort schaust Du ins Security Eventlog (die Zeit, die Du Dir anschauen mußt, siehst Du auch in Lockoutstatus.exe --> Last BadPwd).

 

Viele Grüße

olc

 

Super :-) Vielen Dank. Hab meine Infos gefunden. Dank der super Beschreibung echt einfach. Man muss halt nur wissen wie :-)

Link zu diesem Kommentar
  • 2 Jahre später...

Hallo zusammen,

der Beitrag ist zwar schon etwas älter, für mich aber grade sehr aktuell.

Ich versuche auch herauszufinden von welchem Computer ein Domänen-Account gesperrt (wegen PW Falscheingabe) wurde. Obwohl ich üer GPO das Audit Logon (im Deutschen: Computerkonfiguration - Richtlinien - Windows Einstellungen - Sicherheitseinstellungen - Lokale Richtlinien / Überwachungsrichtlinie) aktiviert habe (Anmeldeereignisse: Erfolgreich, Fehler; Anmeldeversuche: Erfolgreich, Fehler), schreibt er mir nur die erfolgreichen Logonversuche (ID 4624) in das Securitylog, nicht aber die fehlgeschlagenen. Müsste ja ID4625 sein. Da finde ich keinen einzigen Eintrag dazu.

Das Programm lockoutstatus.exe zeigt mir aber auch den DC an bei dem die fehlgeschlagenen Versuche aufgeschlagen sind.

 

Kann mir jemand sagen wo ich noch nachschauen kann wurum die fehlgeschlagenen Loginversuche nicht protokolliert werden? (Server 2008)

 

Vielen Dank

Mister_M

bearbeitet von Mister_M
Link zu diesem Kommentar

Erstell bitte einen eigenen neuen Thread. Fremde und alte Threads kapert man nicht, Danke. Steht auch so in den Regeln dieses Boards: http://www.mcseboard.de/topic/191452-mcseboardde-regeln-nutzungsbedingungen/

 

Regel Nr. 7: Keine Overtakes

Versucht nicht Beiträge anderer Autoren mit Euren Fragen zu anderen Themen zu übernehmen. Eröffnet ggf. einen eigenen Beitrag.

Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...