Passwort Policy

[carnivore 10]

Hallo,

 

Ich habe die Anforderung auf dem Tisch, dass zumindest für bestimmte User ein Alert (z.b. email) getriggert wird, wenn zu oft ein falsches Passwort für einen Account eingegeben wird. (z.b. 10-mal hintereinander oder 20-mal in 24h etc.). Es geht nicht darum, den Account über die PasswortGPO zu sperren, sondern um ein zusätzliches Monitoring.

Gibt Windows AD unter 2012R2 mit vielen DCs so etwas native her? Mir ist nämlich nichts bekannt, was aber nichts bedeutet.

 

Danke

Carnivore

bearbeitet 24. August 2016 von carnivore

[zahni 554]

Die  Fehlversuche werden  z.B. in den Security-Eventlogs der DCs geloggt. Leider  nur  in dem DC, auf  dem sich der  User gerade anmelden will.

Es gibt div. Tools, mit denen Du die Eventlogs extern auslesen und  verwalten kannst...

[carnivore 10]

Schade!

Trotzdem Danke

 

Carnivore

[datmox 26]

?? Wieso schade?

 

LOL...  :suspect:

[NorbertFe 2.061]

Na schade, da muß ich ja mehr machen als nen Haken zu setzen? :D

[carnivore 10]

Eine ernsthafte Antwort erwartet ihr zwei ... nicht, oder?

 

Carnivore

[NorbertFe 2.061]

Nö. Wozu auch, ...?

[MurdocX 953]

Hallo,

 

Ich habe die Anforderung auf dem Tisch, dass zumindest für bestimmte User ein Alert (z.b. email) getriggert wird, wenn zu oft ein falsches Passwort für einen Account eingegeben wird. (z.b. 10-mal hintereinander oder 20-mal in 24h etc.). Es geht nicht darum, den Account über die PasswortGPO zu sperren, sondern um ein zusätzliches Monitoring.

Gibt Windows AD unter 2012R2 mit vielen DCs so etwas native her? Mir ist nämlich nichts bekannt, was aber nichts bedeutet.

 

Danke

Carnivore

 

Ereignisabbonements

https://technet.microsoft.com/de-de/library/cc749183(v=ws.11).aspx

 

Einrichten von Computern zum Weiterleiten und Sammeln von Ereignissen

https://technet.microsoft.com/de-de/library/cc748890(v=ws.11).aspx

[carnivore 10]

Danke für die Links.

Die Events werden bereits von unserer SIEM-Lösung eingesammelt. Jetzt müssen wir zusammen mit unseren Admins noch einen passenden Algorithmus und Prozess finden, um dann die Lockout-Sperre nach x-Fehlversuchen herauszunehmen, aber trotzdem Attacken zuverlässig zu erkennen.

 

Carnivore

[magheinz 110]

Die Lösung würde mich auch interessieren...

[MurdocX 953]

Hier könnte gescriptet werden. Prinzipiell keine schwere Sache. Eventlogs der zentralen Stelle auslesen, nach IDs filtern und die Ausgabe per XML einlesen. Bei mehr als X Versuchen in Y Zeit eine Mail verschicken. Fertig :)

 

EDIT:

Die Powershell ist damit gemeint.

bearbeitet 28. August 2016 von MurdocX

[magheinz 110]

Das "aber trotzdem attacken zuverlässig erkennen" hätte mich interessiert.