Nicht nachvollziehbare Änderung eines AD-Datensatzes

[ITSK 10]

Hallo Mitadmins,

 

ich stehe grade ein wenig auf dem Schlauch. :(

Folgendes Problem:

 

Bei einem meiner Nutzeraccounts wurde im AD anscheinend der Profilpfad gelöscht. n

 

Da ich das Admin-PW pranoiderweise jeden Tag ändere, gehe ich mal davon aus, dass mein Adminaccount nicht kompromittiert wurde.

Aber ganz sicher bin ich nun nicht.

 

Gibt es eine Möglichkeit über Log-Dateien nachvollziehen welcher Nutzer wann die Veränderungen am AD-Datensatz durchgeführt hat?

 

Viele Grüße

Chris

[##mur 10]

Hallo,

 

gibt es denn noch mehrere Admins in deinem Netz? Meldet man sich mit persnölichem Benutzernamen oder mit Administrator an den Servern an?

 

Gruß

 

Maik Rehorn

[zahni 587]

Je nach eingestelltem Log-Level müsste das im Security-Log der  DC's geloggt werden. U.U. musst  Du bei allen DC's nach schauen.

Mit der ID  kann ich auf  die Schnelle nicht dienen. Du solltest einfach mal die Änderung  bei einem Konto machen und schauen, was  geloggt wird.

[NorbertFe 2.283]

Standardmäßig wird es mit hoher Wahrscheinlichkeit nicht geloggt. Aber man sollte es konfigurieren können.

[lefg 276]

Gibt es eine Möglichkeit über Log-Dateien nachvollziehen welcher Nutzer wann die Veränderungen am AD-Datensatz durchgeführt hat?

 

Hallo,

 

falls das Loggen solchen Ereignisses nicht vorher aktiviert, deshalb also auch nicht im Log steht, dann ist es wohl nicht nachvollziehbar. Wie sollte es denn auch?

bearbeitet 27. Januar 2014 von lefg