Аудит учётных записей в Windows Server 2008

[Zara01]

Столкнулся я вот с какой проблемой. У нас в организации за каждым компьютером в неделю работает несколько разных человек. Встал вопрос с какой учётной записи определенного числа выполнялся вход в систему. Как это узнать? У нас домен с активной директорией, DNS и DHCP серверами. Перерыл весь инет, из того что "в тему" нашел только вот этот пост (http://www.av5.com/journals-magazines-online/1/35/303). Но данная статья лично мне не помогла, получается импортировать файл .CSV но как его корректно отобразить в Excel хз. Нет ли какого нибудь более простого пути осуществлять аудит учётных записей в активной директории Windows Server 2008 (а именно лог какая учетная запись какого числа авторизировалась при входе в систему AD)???
(P.S. так же скачал программку GFI LANguard Network Security Scanner, в ней есть всё что угодно кроме того что мне нужно).
Помогите плз, ппц весь инет уже перерыл.

[Oleg Krylov]

активной директорией »
:) Active Directory это торговая марка и непереводимая игра слов. Лучше использовать выражение "служба каталогов" :)
Мой коллега, Максим Ефремов, писал о немного похожей проблеме. если прочитать его пост, посвященный Log Parser и приложить немного фантазии - получится самое то!
http://lazydog.ru/?p=129

[Zara01]

Oleg Krylov, спс изучаю блог, очь интересно =)

[Zara01]

Скачал и установил утилиту LogParser. после ввода в неё кода как указанно в посте http://lazydog.ru/?p=129

logparser -o:CSV “SELECT TimeGenerated as Time, EXTRACT_TOKEN(Strings, 5, ‘|’) as Username INTO c:\audit\input.csv FROM security WHERE (EventID=4624 OR EventID=4634) AND TO_DATE(TimeGenerated)=TO_LOCALTIME(SYSTEM_DATE()) AND Strings LIKE ‘%WEBZAVOD%’ AND Strings NOT LIKE ‘%$%’” -ResolveSIDs:ON

Пишет: "')" не является внешней или внутренней командой, исполняемой программой или пакетным файлом

Подскажите плз в чем может быть ошибка, ввожу в консоль утилиты LogParser через правую кнопку вставить.

[Oleg Krylov]

После TOKEN пробел забыли. Только это скрипт для мониторинга рабочего времени. Вам же нужно отслеживать поле Client workstation

[Zara01]

logparser -o:CSV “SELECT TimeGenerated as Time, EXTRACT_TOKEN (Strings, 5, ‘|’) as Username INTO c:\audit\input.csv FROM security WHERE (EventID=4624 OR EventID=4634) AND TO_DATE (TimeGenerated)=TO_LOCALTIME (SYSTEM_DATE()) AND Strings LIKE ‘%MFC%’ AND Strings NOT LIKE ‘%$%’” -ResolveSIDs:ON

Опять тоже самое: "')" не является внешней или внутренней командой, исполняемой программой или пакетным файлом

[minion]

Zara01,

может просто не из той директории запускается?

[Oleg Krylov]

Я Максу задам вопрос. Вообще похоже, что символ "|" команда считает переходом в конвейер, а ') командой, которую конвейер должен выполнить.

[Alex Bykov]

Попробуйте NetWrix Logon Reporter:
http://www.netwrix.com/logon_reporter_freeware.html
Это бесплатная утилита, которая как раз репортит по логонам/логофам.