2008 R2

nokogerra · Отправлено: **16:23, 01-12-2016** | #2

Если пользователь доменный - то лучший вариант смотреть логи на предмет создания объекта каталога, но только в случае включенного аудита AD. Еще вариант - атрибут "whenCreated" учетной записи для даты создания, например в posh:

Код:

PS C:\Windows\system32> Get-ADUser lasttest  -Properties *| select name,samaccountname,created

name                                    samaccountname                          created
----                                    --------------                          -------
lasttest                                lasttest                                01.04.2016 17:00:06

или можно посмотреть на "whenCreated" в редакторе атрибутов. Для установки создателя можно посмотреть на владельца в "безопасность - дополнительно", но если создатель был членом группы "Администраторы домена", то там будет указана эта группа, а не конкретная учетная запись.

Дату создания локальной учетной записи вряд ли можно узнать. Можно обратить внимание на дату задания для него пароля:

Код:

C:\Users\noko>net user daeva3220
Имя пользователя                       daeva3220
.................
Последний пароль задан                 28.11.2015 19:23:28
................

Вероятно, именно тогда локальный пользователь и был создан. Сомневаюсь, что создателя такой учетной записи можно установить (но не исключаю).

dahiko · Отправлено: **16:47, 01-12-2016** | #3

Цитата nokogerra:

Дату создания локальной учетной записи вряд ли можно узнать »

Не соглашусь. Если создается локальная учетка, то в логах появляется событие 624 или 4720 в журнале Безопасность. Тут можно узнать и дату создания и того, кто это сделал.

nokogerra · Отправлено: **16:59, 01-12-2016** | #4

Да, действительно, событие 4720 (8.1).