[alef2474]

Согласно
http://technet.microsoft.com/ru-ru/m....auditing.aspx
по правой кнопке на любом событии аудита можно выбрать опцию "Привязать задачу к событию"(Attach task to this event), а задачей может быть посылка e-mail, запуск какой-то программы(посылки смс) или выдача сообщения. Неправильный ввод пароля это EventID 4625, наверно.(журнал Windows Logs-Security)

[Telepuzik]

нескольких попыток он был заблокирован? »

Netwrix Account Lockout Examiner

[Shiirx]

alef2474, что-то эта штука не работает, сырая она по моему

[snark]

На контроллере домена создал задание с триггером

Код:

<QueryList>
  <Query Id="0" Path="Security">
    <Select Path="Security">*[System[(Level=4 or Level=0) and (EventID=4740)]]</Select>
  </Query>
</QueryList>

К этому событию привязал выполнение Powershell скрипта:

Код:

$Theme = "Account have been locked out:" 
$Server = "10.200.100.1" 
$From = "AccountLockNotify@kontora.ru"
$To = "admin.1@kontora.ru","admin.2@kontora.ru" 
$encoding = [System.Text.Encoding]::UTF8

$Body = Get-WinEvent -maxevents 1 -FilterHashtable @{LogName = "Security";ID = 4740;StartTime = (Get-Date).AddSeconds(-120)} | Select TimeCreated,@{n = "Account";e = {([xml]$_.ToXml()).Event.EventData.Data | `
?{$_.Name -eq "TargetUserName"} | %{$_.'#text'}}}, @{n="Computer name";e={([xml]$_.ToXml()).Event.EventData.Data | ? {$_.Name -eq "TargetDomainName"}| %{$_.'#text'}}}
$LockedUC = $Body -split '[;=}]'
$body = $body -replace "@{" -replace "}" -replace "=", ": " -replace ";","`n" -replace "TimeCreated","Time Created" -replace "^","`n" 
$BodyM = $Body
$Subject = "Account locked out: " + $LockedUC[3] + " @ " + $LockedUC[5]
Send-MailMessage -From $From -To $To -SmtpServer $server -Body "$Theme `n$BodyM" -Subject $Subject -Encoding $encoding

[El Scorpio]

получение писем на почту Администратора, в случае если пользователь не правильно ввёл пароль »

Отправка писем из консоли - программа blat.exe
Ну а командный файл для запуска этой программы со всеми нужными параметрами (сервер отправки, адрес получателя и т.д.) можно привязать к событию, как сказал alef2474.

или если после нескольких попыток он был заблокирован »

Можно написать командный файл, который будет хранить во временном файле счётчик ошибочных запусков с проверкой по времени последней ошибки.