Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Серверные продукты Microsoft » Windows Server 2008/2008 R2 » 2008 R2 - Журнал безопасности забит отказами

Ответить
Настройки темы
2008 R2 - Журнал безопасности забит отказами

Пользователь


Сообщения: 126
Благодарности: 1

Профиль | Отправить PM | Цитировать


Добрый день всем.
Win 2008R2 - контроллер домена, при входе в систему не посредственно с консоли выдает:
Количество неудачных интерактивных входов в систему со времени последнего интерактивного входа N.

В журнале безопасности по коду 4625 может быть в разы меньше отказов чем N, но они есть. В 99% это тип входа 3.
Соответственно, в большинстве случаях выдается инфа об источнике и логине, под которым был вход. Машины локальные, но
вот на них нет таких логинов, проверял на вирусы, проверял все автозапуски, проверял все места хранения учетных записей и
хранение сетевых паролей, ничего не могу найти, а журнал безопасности каждый день растет.
Подскажите куда копать? Или может кто знает как в Win 7 посмотреть все существующие или введеные учетные данные.

Отправлено: 06:58, 05-12-2019

 
zai zai вне форума

Аватара для zai

Ветеран


Сообщения: 5270
Благодарности: 698

Профиль | Отправить PM | Цитировать


ev83gen, у тебя сервак одним из LAN в интернете торчит, типа его раздает?

-------
А зачем тебе жужжать, если ты не пчела? По-моему так.


Отправлено: 11:42, 05-12-2019 | #2



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Пользователь


Сообщения: 126
Благодарности: 1

Профиль | Отправить PM | Цитировать


Цитата zai:
ev83gen, у тебя сервак одним из LAN в интернете торчит, типа его раздает? »
Ни в коем случае, сервак за Mikrotikom, за натом и за Firewall с кучей отрезающийх правил.
Все это идет из локальной сети, от машин, к которым у меня есть абсолютный доступ.
Ну вот пример для полноты картины:
Сервак 192.168.1.1 у него в логах отказ доступа , тип доступа 3. Имя рабочей станции PC-1, IP 192.168.1.3. пользователь admin

Ну я захожу на комп 192.168.1.3. В учетных записях admin - нет, в сохраненных сетевых паролях admin - нет, в автозапуске пусто,
в планировщике заданий ничего нет. Подключение сетевых дисков от admin тоже нет. Вот как его найти, где он прописан?

Отправлено: 11:54, 05-12-2019 | #3

zai zai вне форума

Аватара для zai

Ветеран


Сообщения: 5270
Благодарности: 698

Профиль | Отправить PM | Цитировать


Цитата ev83gen:
сервак за Mikrotikom »
Он не взломан? WinBox (обычно все его юзают) очень легко выламывается.
Цитата ev83gen:
Имя рабочей станции PC-1, IP 192.168.1.3. пользователь admin »
Цитата ev83gen:
Вот как его найти, где он прописан? »
На компе 192.168.1.3, либо пользователь данного ПК фигней страдает.

Цитата ev83gen:
в планировщике заданий ничего нет »
Они могут быть скрыты, нужно залогиниться от учетки "Администратор", тогда будут видны все.

Зы. Скриншот логов покажи

-------
А зачем тебе жужжать, если ты не пчела? По-моему так.


Последний раз редактировалось zai, 05-12-2019 в 12:14.


Отправлено: 12:04, 05-12-2019 | #4


Пользователь


Сообщения: 126
Благодарности: 1

Профиль | Отправить PM | Цитировать


Цитата zai:
Он не взломан? WinBox (обычно все его юзают) очень легко выламывается. »
Не думаю, все обновлено до последней версии и подключение разрешено только с локалки с пару адресов.

Цитата zai:
На компе 192.168.1.3, либо пользователь данного ПК фигней страдает. »
Это наврядли, контингент не тот.

Цитата zai:
Они могут быть скрыты, нужно залогиниться от учетки "Администратор", тогда будут видны все. »
Про это вкурсе, просматривал компы под локальными администраторами.

Скрины, сейчас нет возможности, позже выложу.

Отправлено: 12:35, 05-12-2019 | #5

zai zai вне форума

Аватара для zai

Ветеран


Сообщения: 5270
Благодарности: 698

Профиль | Отправить PM | Цитировать


Цитата ev83gen:
Про это вкурсе, просматривал компы под локальными администраторами »
автозагрузку в реестре смотрел?

-------
А зачем тебе жужжать, если ты не пчела? По-моему так.


Отправлено: 13:09, 05-12-2019 | #6


Пользователь


Сообщения: 126
Благодарности: 1

Профиль | Отправить PM | Цитировать


Цитата zai:
автозагрузку в реестре смотрел? »
тоже просматривал, единственное что не смотрел, так может какая то служба запускается от имени....
Но вот служб много, может какая команда в cmd есть?

Отправлено: 14:27, 05-12-2019 | #7

zai zai вне форума

Аватара для zai

Ветеран


Сообщения: 5270
Благодарности: 698

Профиль | Отправить PM | Цитировать


Цитата ev83gen:
может какая команда в cmd есть? »
в реестре поиском "admin"

-------
А зачем тебе жужжать, если ты не пчела? По-моему так.

Это сообщение посчитали полезным следующие участники:

Отправлено: 14:45, 05-12-2019 | #8


Пользователь


Сообщения: 126
Благодарности: 1

Профиль | Отправить PM | Цитировать


Цитата zai:
в реестре поиском "admin" »
Хорошая была идея, но вот учетка реально admin, а в реестре столько ..... где admin встречается.... А если выставить галочку "искать только строку целиком", то ничего не находит.

Отправлено: 14:56, 05-12-2019 | #9



Компьютерный форум OSzone.net » Серверные продукты Microsoft » Windows Server 2008/2008 R2 » 2008 R2 - Журнал безопасности забит отказами

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
Любой язык - Скрипт журнал безопасности терминал MgkMgk Скриптовые языки администрирования Windows 4 19-03-2019 18:06
Разное - Журнал безопасности Sevbl4 Microsoft Windows 2000/XP 9 03-06-2010 15:40
Переполнен журнал безопасности Diesel315 Microsoft Windows NT/2000/2003 3 23-01-2009 10:48
Ошибка - Журнал безопасности переполнен Apock Microsoft Windows 2000/XP 9 03-10-2007 12:14
Переполнен журнал безопасности. Anbor Microsoft Windows 2000/XP 6 14-06-2006 09:23




 
Переход