Spontanes Abmelden vom XP

[Gismo79 10]

Hi Leute,

 

wir haben bei uns in der Firma seit ein paar Tagen das Problem das sich willkürlich verschiedene Notebooks einfach werden des Betriebs abmelden.

 

Es gibt kein erkennbares Muster bei der ganzen Sache. Es spielt überhaupt keine Rolle was man grade macht. Es kann im Word passieren oder wenn der Rechner einfach nur rum steht und nichts macht. Das ganze äußert sich indem die WS runter fährt sich versucht abzumelden und sich dann aufhängt bei der Meldung "Benutzereinstellungen werden gespeichert". Man kann den Rechner dann nur noch aus machen.

 

Ein Virus kann es nicht sein da ich schon an so einem Notebook 3 verschiedene Virenkiller drüber laufen lassen hab. Ich hab mir das ganze auch schon mit HJackThis angeschaut aber auch hier gibt es absolut nichts Auffälliges.

 

Gibt es irgendeine Möglich zu überwachen WELCHES Program hier die Abmeldung vornimmt? Ich hab schon versucht über den Eventlog etwas zu machen aber ich hab nicht die richtige Policy gefunden die das ganze protokoliert. An Filemon oder so hab ich auch schon gedacht aber bei Filemon kann man ja nicht ständig speichern. Ich brauch ein Tool was alle Prozesse überwacht und das auch sofort speichert......

 

Oder irgendeine andere Idee was ich mir anschauen könnte ?

[alphaville 10]

Hi Gismo,

 

schon mal überlegt, ob Dir einer einen Streich mit Remote Shutdown spielt...

shutdown /m \\Ip-Adresse , usw ???

 

Ansonsten wäre etwas mehr Info sehr nützlich. BS, Netzwerkumgebeung,...

[Gismo79 10]

Nee, das wird mit Sicherheit nicht sein...... Ich glaube nicht das es ein Netzwerk Problem ist denn das ganze passiert auch wenn das Notebook nicht am Netz ist.......

 

Einen Shudown würde man ja auch im Security Log sehn, hab ich ja extra eingeschaltet auf der XP Kiste.

[Gabriel70 10]

Oder irgendeine andere Idee was ich mir anschauen könnte ?

 

Hallo!

 

Deaktiviere mal den automatischen Neustart bei Systemfehlern und schau mal welche Meldung du dann bekommst.

 

Gruß

[Sunny61 806]

Über MSCONFIG alles abschalten, was nicht von MS ist. Neustart. Und vorsichtshalber UPHC installieren, das verhindert defekte Profile: Download details: User Profile Hive Cleanup Service

[Gismo79 10]

@Gabriel70

Die Option ist doch nur beim Booten wirksam oder meine ich jetzt was anderes ?

Welche Option meinst du ?

 

@Sunny61

Ok, dass werde ich mal versuchen.....

[Sunny61 806]

@Gabriel70

Die Option ist doch nur beim Booten wirksam oder meine ich jetzt was anderes ?

Welche Option meinst du ?

 

Gibs am besten per GPO im AD vor. No. 43 suchst Du: Weiter unten mal einige Sample´s und Codebeispiele:

Und nein, das hat nix mit dem booten zu tun, aktiviere es, schaden kann es nicht.

 

@Sunny61

Ok, dass werde ich mal versuchen.....

 

Kontrollier auch mal die Energieeinstellungen, nicht das dir irgendwas in die Quere kommt.

[Gismo79 10]

Ich habs jetzt mal abgeschlatet die Option meine ich.

In den Energieeinetellungen gabs auch nichts intressantes was dazu führen könnte.

 

Hat jemand nen Plan obs nicht ein Tool gibt das überwacht welches Programm so ne Abmeldung durchführt ?

[Sunny61 806]

Hat jemand nen Plan obs nicht ein Tool gibt das überwacht welches Programm so ne Abmeldung durchführt ?

 

Das Eventlog auf den Clients sollte was hergeben.

[Gismo79 10]

Machts aber nicht, dass ist ja das Problem, da steht nur drinne das der User sich abgemeldet hat mehr nicht.

[Gabriel70 10]

... da steht nur drinne das der User sich abgemeldet hat mehr nicht.

 

Hallo!

 

Das ist sehr seltsam. Da im Eventlog nichts zu sehen ist, vermutet man erstmal, daß die Abmeldung vom User angestossen wurde und nicht unerwartet ist.

 

Wie sieht denn die Umgebung aus? Gibt`s ne Domäne? Haben die Notebooks vielleicht verschiedene Hardwareprofile? Hängen sie an einer Dockingstation?

 

Gruß

[Sunny61 806]

Machts aber nicht, dass ist ja das Problem, da steht nur drinne das der User sich abgemeldet hat mehr nicht.

 

Updateinstallationen vom WSUS?

[Gismo79 10]

Hallo!

 

Das ist sehr seltsam. Da im Eventlog nichts zu sehen ist, vermutet man erstmal, daß die Abmeldung vom User angestossen wurde und nicht unerwartet ist.

 

Wie sieht denn die Umgebung aus? Gibt`s ne Domäne? Haben die Notebooks vielleicht verschiedene Hardwareprofile? Hängen sie an einer Dockingstation?

 

Gruß

 

 

Ja, genau, es sieht erstmal so aus als wenn der User sich absichtlich abgemeldet hat, ich hab aber gesehn das die Abmeldung einfach so passiert ist.

 

Ja, es gibt ne Domain und die Notebooks haben auch alle ne Docking Station. Ich hab daran aber auch nichts ungewöhnliches entdecken können..... Ich versteh es auch nicht wirklich warum das passiert.

 

@Sunny61

 

Wsus hab ich auch schon geprüft, das WSUS Log sagt nichts dazu, ich hab auch sonst kein Update gesehn.....

[Gabriel70 10]

Ja, genau, es sieht erstmal so aus als wenn der User sich absichtlich abgemeldet hat, ich hab aber gesehn das die Abmeldung einfach so passiert ist.

 

Hallo!

 

Möglicherweise wird die Abmeldung aufgrund bestehender GPO-Settings serverseitig vorgenommen (Sitzungsdauer ?)

 

 

Gruß

[Gismo79 10]

Hab ich mir auch schon überlegt aber dem ist nicht so, ich vermute es liegt an irgendeiner software die auf der Kiste installiert ist, ich weiss nur noch nicht welche.