Поиск по сайту:

Событие блокировки учетной записи: Найдите источник блокировок учетных записей

Когда учетная запись пользователя Active Directory заблокирована, в журналы событий Windows добавляется событие блокировки учетной записи. Идентификатор события 4740 добавляется на контроллерах домена, а событие 4625 добавляется на клиентских компьютерах.

Идентификатор события блокировки предоставляет важные детали о блокировке, такие как имя учетной записи, время события и источник компьютера (имя вызывающего компьютера). Эти события полезны для устранения неполадок и аудита событий блокировки.

В этом посте я покажу вам, как быстро найти все события блокировки учетных записей и как обнаружить источник блокировок.

Содержание

  • Включить события блокировки учетной записи
  • Событие блокировки ID 4740 на контроллерах домена
  • Событие блокировки ID 4625 на серверах и рабочих станциях
  • Событие 4625 Тип входа
  • Как быстро найти источник блокировки учетных записей

Включить события блокировки учетной записи

Перед тем как Windows будет регистрировать события блокировки учетной записи в Active Directory, необходимо настроить политику блокировки и журналы аудита. Обратитесь к руководству по настройке политики блокировки учетной записи для получения инструкций по созданию политики блокировки. См. шаги ниже для включения политики журнала аудита.

Шаг 1. Откройте консоль управления групповыми политиками

Это может быть от контроллера домена или любого компьютера, на котором установлены инструменты RSAT.

Шаг 2. Измените политику контроллеров домена по умолчанию

Перейдите к Политике контроллеров домена по умолчанию, щелкните правой кнопкой мыши и выберите "Изменить". Вы также можете создать новую GPO в организационной единице "Контроллеры домена", если предпочитаете не редактировать GPO по умолчанию.

Перейдите к конфигурации компьютера -> Политики -> Параметры Windows -> Настройки безопасности -> Продвинутая настройка политики аудита -> Политики аудита -> Управление учетными записями

Включите успешные и неуспешные события для политики Управление учетными записями пользователей аудита.

Далее активируйте следующее:

конфигурация компьютера -> Политики -> Параметры Windows -> Настройки безопасности -> Конфигурация расширенной политики аудита -> Политики аудита -> Вход в аккаунт

Включить успех и неудачу для Службы аутентификации Kerberos.

Шаг 3: Изменить политику по умолчанию для домена

Настройки ниже включат событие блокировки 4625 и неудачные попытки входа на клиентских компьютерах.

Перейдите в Конфигурацию компьютера -> Политики -> Настройки Windows -> Настройки безопасности -> Конфигурация расширенной политики аудита -> Вход/выход

  • Аудит блокировки учетной записи – Успех и ошибка
  • Журнал выхода из системы – Успех и неудача
  • Журнал аудита входа – Успех и неудача
  • Аудит других событий входа/выхода – Успех и Неудача

Аудит теперь включен, и событие 4740 будет записано в журналы событий безопасности, когда учетная запись будет заблокирована. Кроме того, журналы Kerberos включены, что позволит регистрировать сбои аутентификации с блокировкой. Иногда событие 4740 не записывает исходный компьютер, и журналы Kerberos предоставляют дополнительные детали.

Идентификатор блокировки события 4740 на контроллере домена

Контроллер домена зафиксирует событие 4740, когда учетная запись AD будет заблокирована. Это событие не реплицируется, поэтому вам нужно либо просмотреть все контроллеры домена, либо найти контроллер, который выполняет роль эмулятора PDC FSMO.

Как найти все 4740 событий

Чтобы отобразить все 4740 событий, откройте средство просмотра событий на контроллере домена, щелкните правой кнопкой мыши на журналах безопасности и выберите «Фильтровать текущий журнал».

Затем введите 4740 в поле «Включает/Исключает» и нажмите «ОК».

Журналы событий теперь должны отображать только события 4740.

Нажмите на одно из 4740 событий, чтобы отобразить детали.

На скриншоте выше я выделил самые важные детали события блокировки.

  • Идентификатор безопасности и имя учетной записи – Это имя заблокированной учетной записи.
  • Имя компьютера звонящего – Это компьютер, с которого произошел блокировщик.
  • Заблокировано – Это время блокировки учетной записи.

Давайте рассмотрим некоторые дополнительные способы получения всех 4740 событий блокировки.

Получить события блокировки ID 4740 с помощью PowerShell

Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    ID = 4740
}

Эта команда отобразит все 4740 событий с контроллера домена. Снова нужно будет запустить это на всех контроллерах домена или на сервере с ролью эмулятора PDC.

Get-WinEvent -FilterHashtable @{logname=’security’; id=4740} | fl

Эта команда отобразит детали всех 4740 событий.

Имя компьютера звонящего - это компьютер, с которого произошли попытки блокировки или ввода неправильного пароля.

С помощью PowerShell легко отобразить все события блокировки аккаунтов, но может быть трудно быстро просмотреть детали событий.

Отображение событий блокировки с помощью инструмента AD Pro Toolkit

Инструмент AD Pro Toolkit представляет собой набор простых в использовании инструментов управления Active Directory. Приложение для разблокировки пользователей делает получение всех событий блокировки с всех контроллеров домена очень простым. Просто нажмите на приложение для разблокировки пользователя, выберите "Устранение проблем с блокировками" и нажмите "Запуск".

Всего одним кликом я смог получить все события блокировки учетных записей за последние 24 часа со всех доменных контроллеров. Кроме того, будут отображены журналы для помощи в устранении повторяющихся блокировок.

Вы также можете легко проверить статус блокировки учетной записи, выбрав "Все заблокированные пользователи" и нажав "Запустить".

На приведённом выше скриншоте видно, что инструмент нашел две заблокированные учетные записи пользователей, он также отображает время блокировки и дату последнего изменения пароля. Этот инструмент упрощает задачу сотрудникам службы поддержки по проверке заблокированных учетных записей пользователей, разблокировке и сбросу паролей.

Идентификатор блокировки события 4625 на клиентских компьютерах

Идентификатор события 4625 записывается на клиентском компьютере, когда учетная запись не может войти в систему или заблокирована. Это событие будет записано для локальных и доменных учетных записей пользователей. Событие полезно для устранения проблем с повторяющимися блокировками, так как оно предоставляет больше информации, чем событие 4740. Идентификатор события 4625 записывается только на компьютере, с которого была сделана попытка входа в систему.

Например, на ПК1 я ввел свой пароль неправильно 3 раза, что привело к блокировке моей учетной записи. ПК1 сгенерировал событие 4625 на локальном ПК, когда произошла блокировка.

На скриншоте выше вы можете увидеть, что событие 4625 предоставляет такие детали, как тип входа и вызывающий процесс. Тип входа очень важен, так как он поможет определить причину блокировок.

Событие 4625 будет также генерироваться каждый раз, когда я ввожу неправильное имя пользователя или пароль.

Проблема с этим заключается в том, что сначала нужно узнать источник блокировки учетной записи, прежде чем вы сможете отфильтровать события 4625. См. раздел ниже для получения подробной информации о том, как найти источник блокировок учетных записей.

Событие 4625 Тип входа

Тип входа очень важен, так как именно так пользователи пытались аутентифицироваться. См. таблицу ниже для справки о типах входа 4625.

Тип входа

Описание

2

Интерактивный (также известный как локальный вход в систему). Примеры: консольный вход, RUNAS, сетевой KVM

3

Сеть (Пароль, NT Hash, билет Kerberos). Примеры: NET USE, RPC вызовы, Удаленный реестр

4

Пакет (Пароль (хранится как секрет LSA). Примеры: Запланированные задачи

5

Служба (Пароль (хранящийся как секрет LSA). Примеры: Службы Windows

8

Сетевой открытый текст (Пароль). Примеры: IIS Basic Auth, Windows PowerShell с CredSSP

9

Сетевые учетные данные (Пароль). Примеры: RUNAS /NETWORK

10

Удаленный интерактивный (Пароль, Умная карта). Примеры: Удаленный рабочий стол

11

Кэшированное взаимодействие (Пользователь вошел на этот компьютер с сетевыми учетными данными, которые хранились локально на компьютере. Контроллер домена не был запрошен для проверки учетных данных).

Теперь давайте посмотрим на несколько примеров.

Тип входа 2

В этом примере я пытался войти в систему на ПК1 локально. Это сгенерировало событие 4625 с типом входа 2. Пользователи обычно входят в систему, сидя перед своим компьютером или имея доступ к консоли, поэтому часто можно увидеть много входов типа 2.

Тип входа 10

В этом примере я использовал RDP, чтобы попытаться войти на PC1. Я ввёл неверный пароль, поэтому событие 4625 было зарегистрировано с типом входа 10.

Это должно помочь вам понять, как использовать событие 4625 для диагностики неудачных входов в систему и блокировок учетных записей.

Смотрите документацию Microsoft Event 4625 для получения дополнительной информации об этом идентификаторе события.

Как быстро найти источник блокировки учетных записей

Этот шаг использует инструменты AD Pro для поиска идентификатора события 4740 и других идентификаторов событий, которые помогут устранить неполадки с блокировками.

Я создал этот инструмент, чтобы всем сотрудникам было супер легко разблокировать учетные записи, сбрасывать пароли и находить источник блокировок аккаунтов. Он также имеет несколько дополнительных функций, чтобы помочь найти источник блокировок.

Это намного более простой вариант, чем PowerShell.

1. Откройте инструменты AD Pro

Нажмите на инструмент «Устранение проблем с блокировкой» в левом меню.

Шаг 2. Выберите диапазон дат и нажмите «Запустить».

Инструмент получит ID события 4740 и 4771 со всех контроллеров домена.

Теперь у вас будет список событий, который покажет источник блокировки или источник неудачных попыток аутентификации.

На снятом выше скриншоте вы можете увидеть, что блокировка учетной записи «robert.allen» произошла с компьютера PC1.

Будут случаи, когда событие 4740 не покажет исходный компьютер. Когда это происходит, вы можете использовать другие зарегистрированные события, чтобы помочь в устранении неполадок с событиями выхода. Например, если на приведенном выше скриншоте не было события 4740, я мог бы посмотреть на 4771 и увидеть, что неудачная попытка аутентификации была с компьютера с IP 192.168.100.20.

Кроме того, вы можете разблокировать учетную запись и сбросить пароль, используя всего лишь один инструмент. Инструмент отобразит все заблокированные учетные записи, вы можете выбрать одну учетную запись или несколько учетных записей для разблокировки.

Инструмент разблокировки является частью набора инструментов AD Pro. Скачайте бесплатную пробную версию здесь.

Резюме

Знание того, как отслеживать события блокировки Active Directory, является критически важным для устранения повторяющихся блокировок. Также это лучшая практика безопасности — проверять и контролировать неудачные попытки входа для выявления malicious активности в вашей сети. В этом руководстве я показал вам идентификаторы событий блокировки для учетных записей доменных и локальных пользователей. Кроме того, я показал, как фильтровать журналы с помощью PowerShell и с помощью графического инструмента AD Pro Toolkit.

Надеюсь, вы нашли эту статью полезной. Если у вас есть вопросы или комментарии, дайте мне знать, оставив комментарий ниже.