Konto wird gesperrt

[kanal 10]

moin zusammen,

 

ich versuche herauszufinden, warum das konto einiger clients dann und wann gesperrt wird. (nicht deaktiviert !!!)

 

erst mal die umgebung:

 

w2k small business server( domaincontroller) + 2 w2k server

( alle service pack 4)

 

clients sind w98 se

 

 

die umstände:

 

benutzer melden sich einmal am tag (morgens) an. anmeldung klappt und sie können ohne probleme auf gemappte laufwerke des small business servers zugreifen, was dann plötzlich (ohne ersichtlichen grund ) nicht mehr geht.

 

 

Sicherheitsmeldung des ereignisprotokolls:

 

Ereignistyp: Erfolgsüberwachung

Ereignisquelle: Security

Ereigniskategorie: Kontenverwaltung

Ereigniskennung: 642

Datum: 01.04.2004

Zeit: 09:17:32

Benutzer: Jeder

Computer: zzzzz

Beschreibung:

Geändertes Benutzerkonto:

Konto gesperrt.

Zielkontenname: XX

Zieldomäne: yyyyy

Zielkontokennung: yyyyy\XX

Benutzername des Aufrufers: zzzzz$

Domäne des Aufrufers: yyyyy

Anmeldekennung des Aufrufers: (0x0,0x3E7)

Rechte: -

 

diese meldung kommt komischer weise nicht immer oder manchmal verspätet.

das passiert immer bei 4 clients, welche anscheinend wilkürlich ausgelost werden.

 

falls jemand erfahrungen mit diesem problem gemacht hat, bitte posten.

auch wenns nur ähnlich vorfälle waren oder sind.

 

danke danke danke schon mal im voraus

[kanal 10]

hat denn nicht jemand wenigstens einen kleinen hinweis oder eine vermutung, oder ist das problem zu lächerlich?

 

ich wäre sehr dankbar über jede äusserung dazu.

 

gruß kanal

[IvkovicD 10]

hi kanal,

 

Konten sperren sich seltenst selber, irgendwas versucht immer vorher mit falschen passwort (etc) unter dem Konto sich irgendwo anzumelden, bis die Domäne den Riegel vorschiebt.

 

Schalte mal ein entsprechendes Audit auf deinen Server ein (in der "Default Domain GPO") welches explizit mitlogged, wenn jemand/etwas Benutzerkonten verwendet (könnte etwas). Das wäre mal ein erster Versuch, das Problem zu kanalisieren (ups :D)

 

Ansonsten wäre es interessant zu wissen, was diese vier 98er machen, bevor sie gesperrt werden (bestimmte Applikation am laufen, Mittagspause (Idlezeit), usw.)

 

gruß

 

Dejan

[kanal 10]

erst mal danke für den hinweis. obwohl ich bei windows-systemen noch nicht so überzeugt bin, dass sich einstellungen von selbst ändern:-)

 

ein audit bedeutet was genau? die überwachung benutzen?

 

gruß kanal

[IvkovicD 10]

hi,

 

in der Default Domain Policy GPO unter Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Überwachungsrichtlinie

 

die Richtlinie "Anmeldeereignisse überwachen" aktivieren.

 

Ansonsten hier zwei Links, die dir beim suchen helfen werden:

 

http://www.microsoft.com/germany/ms/security/guidance/modules/secmod144.mspx

http://support.microsoft.com/default.aspx?scid=kb;de;300958

 

gruß

 

Dejan