Benutzeranmeldung in Domäne überwachen

[Muelli 10]

Moin, moin,

 

brauche mal eine kleine Hilfe bei der Einrichtung der Überwachung der Benutzeran- und Abmeldung in der Domäne. Möchte also in der Ereignisanzeige am Domänencontroller gerne sehen, wann sich welcher User an welcher Arbeitsstation an- oder abgemeldet hat.

Habe diesbezüglich nun schon alles durchgespielt: Unter Verwaltung -> Sicherheitsrichtlinie für Domänencontroller -> lokale Richtlinien -> Überwachungsrichtlinien -> Anmeldeversuche überwachen oder daselbe unter Sicherheitsrichtlinien für Domänen.

Als Ergebnis habe ich zwar eine Überwachung bekommen, wobei aber sehr viele Ereignisse protokolliert werden. Mitunter wurde aber nicht der entsprechende Benutzername angezeigt sondern als Benutzer stand nur System. Das ist aber nicht nachvollziehbar.

 

Als Alternative habe ich auch mal die Sicherheitsrichtlinien für eine OU, in der alle User drin sind (in der Benutzerverwaltung), editiert. Aber auch ohne Erfolg.

 

Gibt es einen sauberen Weg nur die Anmelde- und Abmeldeereignisse mit jeweiligem Benutzernamen und evtl. der entsprechenden Arbeitsstation, an der sich der User anmeldet, zu protokollieren?

 

Gruß Mülli

[grizzly999 11]

Anmeldeereignisse auf der OU Domänencontroller überwachen ist schon der richtige Weg. Man muss eben nur das LOG entsprechend durchsuchen und auswerten. Da steht immer der Benutzername und die Arbeitsstation drin, an dem sich User angemeldet hat

[Muelli 10]

Moin, moin,

 

also das ist schon alles so eingerichtet bei mir:

 

Unter Benutzer und Computerverwaltung -> im obersten OU Objekt (Domäne) -> Eigenschaften -> Gruppenrichtlinie -> Default Domain Policy -> Bearbeiten -> Computerkonfiguration -> Windows-Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Überwachungsrichtlinien -> Anmeldeereignisse überwachen oder Anmeldeversuche überwachen bei erfolgreich.

 

alles eingerichtet und trotzdem bleibt die Ereignisanzeige leer, wenn sich ein Benutzer an einer Arbeitsstation einloggt. Mich verwirrt auch der Befriff "lokale Richtlinien" ein wenig. Nicht das er nur die Anmeldeereignisse am Domänencontroller selber überwacht, muss ich mal ausprobieren.

 

Nun könnte ich unter Verwaltung -> Sicherheitsrichtlinien für Domänen oder Sicherheitsrichtlinien für Domänencontroller noch bearbeiten. Das habe ich aber auch schon mal alles durchgespielt.

 

Gibt es jemanden hier, der die Anmeldeüberwachung für Domänen nutzt und der mir mal beschreiben kann, wie er es genau eingerichtet hat?

 

Gruß Mülli

[bigzorro 10]

ich hatte auch grad das problem, dass ne richtlinie nicht übernommen wurde. funzen andere richtlinien?

bei mir wars ein dns-problem :D

[Muelli 10]

Also der DNS läuft eigentlich. Neben den normalen Domänen DNS Funktionen arbeitet er auch als Forwarder für Internet DNS Auflösungen. Ohne jegliche Fehler eigentlich.

 

Andere Richtlinien habe ich noch nicht weiter editiert. Alles standardmäßig entsprechend Installation.

 

Was kann man den tun, wenn Richtlinien nicht übernommen werden? Irgendwelche Tipps?

 

Gruß Mülli

[grizzly999 11]

Nun könnte ich unter Verwaltung -> Sicherheitsrichtlinien Sicherheitsrichtlinien für Domänencontroller noch bearbeiten.[/QOUTE]

Das ist eigentlich der richtige. Ansonsten passt es so. Sollte dann die Anmeldeversuche aufzeichen. Natürlich im Sicherheitslog des Domänencontrollers. Hast Du davon mehrere? DC's meine ich?

 

Voraussetzung ist natürlich eine korrekte Verarbeitung der Gruppenrichtlinien.

 

grizzly999

[Muelli 10]

Hab nur einen DC.

 

so, "Anmeldeereignisse überwachen" ist sowohl unter "Sicherheitsrichtlinie für Domänencontroller" als auch unter ..."Lokale Richtlinie" in User- und Computerverwaltung eingerichtet.

Trotzdem bleibt die Ereignisanzeige leer.

 

Wahrscheinlich komme ich wohl um einen Neustart nicht herum. Werden wieder alle User jaulen.

 

Gruß und Dank Mülli

[grizzly999 11]

Da braucht man keinen Neustart. Entweder auf einem DC fünf Minuten warten, oder für Ungeduldige "secedit /refreshpolicy machine_policy /enforce"

 

grizzly999

[Muelli 10]

das man normalerweise keinen Neustart braucht ist schon klar. Doch wenn er die Gruppenrichtlinien einfach nicht übernehmen will, was dann. Vielleicht klemmt ja mal wieder was - deshalb den Neustart.

 

Aber unabhängig davon habe ich's jetzt auch hinbekommen. Man muss die Richtlinie sowohl in der "Sicherheitsrichtlinie für Domänencontroller" unter "Verwaltung" als AUCH in der Richtlinie der entsprechenden OU in der Benutzerverwaltung aktivieren. "...dann klappt's auch mit dem Nachbar".

 

Leider bringt er natürlich sehr viele Einträge bei jedem Anmelden eines Users. An die 10 Stück. Aber er zeigt den Usernamen gleich an, so dass man nicht lange suchen muss. Die Arbeitsstation erscheint leider nur beim Neustart eines Rechners. Beim einfachen Ab- und Anmelden eines Users erscheint nur der Username und man weiß nicht an welcher Station. ..ich muss noch mal genau suchen.

 

Vielen Dank erst mal an alle.

 

Gruß Mülli

[grizzly999 11]

Man muss die Richtlinie sowohl in der "Sicherheitsrichtlinie für Domänencontroller" unter "Verwaltung" als AUCH in der Richtlinie der entsprechenden OU in der Benutzerverwaltung aktivieren. "...dann klappt's auch mit dem Nachbar".

 

Für deinen Zweck muss es nicht in einer Richtline auf der OU einrichten. Wenn ich es da einrichte, schalte ich die Überwachung der Anmeldeversuche auf dem Client LOKAL ein. Du wolltest aber eine Übwachung der Domänenanmeldung, und die findet ausschließlich dort statt, wo die Anmeldung stattfindet, auf dem Domänencontroller. Wenn es jetzt funktionieren sollte, wie gewünscht, dann muss das eine andere als die von dir beschriebene Ursache haben....

 

 

grizzly999