Nachrichten und Remote-Shutdown zurückverfolgen

[MarcoW75 10]

Hallo!

Ich befinde mich seit einiger Zeit in der Ausbildung zum MCDBA. Verwendetes Betriebsystem ist Windows Server 2003.Leider gibts in dem Kurs ein paar Kindsköpfe,denen es unheimlichen Spaß macht,die "Nachricht senden"-Funktionen der Terminaldienstverwaltung zum Verschicken von ****sinnigen Messages zu benutzen (ist ja vom Windows Nachrichtendienst unabhängig) und andere Rechner via Shutdown-Funktion ohne Warnung runterfahren zu lassen (keine Zeit für shutdown -a). Als Absender zeigt so eine Message immernur "Administrator" an,so heißen aber die Accounts auf allen Rechnern.Leider zeigt die Ereignisverwaltung nix genaues an,wer der Witzbold ist.Gibts eine Möglichkeit, trotzdem die IP des "Auslösers" rauszukriegen ?

 

Marco

[blub 115]

Gib halt deinem Admin ein anderes Passwort und lass einen Netzwerksniffer wie netmon oder ethereal mitlaufen

 

cu

blub