Имя пользователя:
Пароль:
 | Правила  

Компьютерный форум OSzone.net » Серверные продукты Microsoft » Windows Server 2008/2008 R2 » 2008 R2 - Определение событий 4624 и 4648

Ответить
Настройки темы
2008 R2 - Определение событий 4624 и 4648

Новый участник


Сообщения: 1
Благодарности: 0

Профиль | Отправить PM | Цитировать


Изменения
Автор: visw
Дата: 31-07-2014
Добрый день! Вопрос такого характера. Есть 2 события "4624 (Вход с учетной записью выполнен успешно)" и "4648 (Выполнена попытка входа в систему с явным указанием учетных данных)". В журнале (на домен-контроллере Windows 2008 R2) аудита возникает большое количество этих событий с использованием Анонимного входа. В событиях фигурируют компьютеры домена. Примерная ситуация. Есть домен-контроллер(ДК) и 2 рядовых компьютера(РК01, РК02), мой сотрудник утверждает что домен-контроллер может фиксировать события произошедшие в сети, те если с компьютера РК01 зайти на компьютер РК02 на ДК будет ивент 4648, а если на компьютере РК01 пройдет проверку подлинности анонимус, то ДК зафиксирует событие 4624. На сколько я полагаю все события/ивенты, которые есть на ДК происходят непосредственно с самим ДК и он не фиксирует события в сети в которых он не участвует, тем более что тип входа сетевой указан(3). Я понимаю что вопрос несколько идиотский, но все же буду очень признателен за помощь, так как с анонимусом воспроизвести ситуацию дабы проверить правда или нет не знаю как. Пример лога

4624
Вход с учетной записью выполнен успешно.

Субъект:
ИД безопасности: S-1-0-0
Имя учетной записи: -
Домен учетной записи: -
Код входа: 0x0

Тип входа: 3

Новый вход:
ИД безопасности: S-1-5-7
Имя учетной записи: АНОНИМНЫЙ ВХОД
Домен учетной записи: NT AUTHORITY
Код входа: 0x1f0feff
GUID входа: РК02

Сведения о процессе:
Идентификатор процесса: 0x0
Имя процесса: -

Сведения о сети:
Имя рабочей станции: РК02
Сетевой адрес источника: 192.168.0.12
Порт источника: 58068

Сведения о проверке подлинности:
Процесс входа: NtLmSsp
Пакет проверки подлинности: NTLM
Промежуточные службы: -
Имя пакета (только NTLM): NTLM V1
Длина ключа: 128

Отправлено: 18:58, 31-07-2014

 

Новый участник


Сообщения: 2
Благодарности: 0

Профиль | Отправить PM | Цитировать


Чёрт знает - DC под рукой нет, да вообще давно этим не занимался. Но, судя по всему, членам домена разрешены одоранговые взаимоотношения промеж собой. В этом аспекте они друг для друга - анонимы. Но при этом маршрутизация идёт чрез DC... Ну а что фиксировать - политика аудита.

-------
Капитан, обветренный об скалы,..


Отправлено: 06:05, 30-09-2014 | #2



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.



Компьютерный форум OSzone.net » Серверные продукты Microsoft » Windows Server 2008/2008 R2 » 2008 R2 - Определение событий 4624 и 4648

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
2008 R2 - Постоянно генерируется аудит успеха EventID (4634, 4624, 4672) Kursor_kvk Windows Server 2008/2008 R2 4 20-08-2013 06:58
2008 R2 - Событие 4624. Откуда получить LogonType? MegaSun Windows Server 2008/2008 R2 4 20-07-2011 10:51
Репликация событий Artuha Microsoft Windows NT/2000/2003 2 11-07-2011 12:16
Разное - Просмотр событий Berkyt Microsoft Windows 2000/XP 1 07-11-2007 12:21
Журнал событий Vygov Microsoft Windows 95/98/Me (архив) 1 23-07-2007 01:54




 
Переход