Sicherheitsprotokoll auswerten

[meinsman 10]

Hallo,

 

ein gefeuerter Mitarbeiter hat sich wohl verschiedene Backdoors im System eingerichtet. Mit welcher Ereignis ID kann ich erkennen, dass ein deaktiviertes AD-Konto wieder aktiviert wurde und mit welchem Konto das AD-Objekt wieder aktiviert wurde. Es handelt sich um einen DC Windwows 2008 RC.

Gibt es evtl. eine Liste mit den betreffenden ID's?

 

Gruß

 

meinsman

[Dukel 468]

Aktiviere doch ein Konto und schau im Eventlog nach ;)

 

Wenn du denkst, dass Backdoors eingerichtet sind würde ich einen Sicherheitsfachmann aufsuchen.

[samsam 14]

Moin,

 

das Event ID Nr. ist 4722.

4722: A user account was enabled

 

MFG

[meinsman 10]

Super, vielen Dank!

 

 

Haben inzwischen einen externen Dienstleister beauftragt, der alle möglichen Wege dicht gemacht hat.

bearbeitet 12. September 2013 von meinsman