Probleme mit Namensaufloesung im Eventlog

[e5maz 10]

Hallo zusammen,

 

wir haben in unserer Firma seit geraumer Zeit das Problem, dass ein Account mit sicherheitsrelevanten Berechtigungen in "schoener" Regelmaessigkeit gesperrt wird.

Soll heissen, Sperrung laut GPO durch mehrmaliges Eingeben des falschen Passworts.

 

Das Eventlog auf dem Domaenen-Controller zeigt zwar das entsprechende 644er-Ereignis an (User Account Locked Out) , nur wird der Caller Target Name nicht aufgeloest (leer) um bei diesem Rechner miit der Fehlersuche fortzufahren! Seehr stoerend!

Eine provozierte Sperrung durch z.B. meine Kiste hier fuehrt zu einer korrekten Anzeige des Namens im Eventlog.

 

Eventuell hat jemand von euch eine aehnliche Erfahrung gemacht und kann weiterhelfen oder b. gibt es eventuell Dritt-Tools die auch eine IP der sperrenden Maschine zeigen?

Das wuerde einiges erleichtern.

 

Danke und Gruss, e5maz

[Gadget 37]

Hi e5maz u. willkommen an Board,

 

Soll heissen, Sperrung laut GPO durch mehrmaliges Eingeben des falschen Passworts.

 

was meinst du damit Sperrung laut GPO (GPO=Group Policy Object) was hat das mit dem Eventlogeintrag zu tun... innerhalb eines GPO´s findest du bestimmt keinen Eventlog-Eintrag ;)

 

Schonmal hier unter "Related Knowledge Base articles" nachgeschaut:

http://www.microsoft.com/technet/support/ee/transform.aspx?ProdName=Windows%20Operating%20System&ProdVer=5.2&EvtID=644&EvtSrc=Security&LCID=1033

 

BTW: Und bitte immer die Umgebung beschreiben was für ein BS, Service Pack, Domänenfunktionsebene usw...

 

LG Gadget

[e5maz 10]

War etwas missverstaendlich... sollte einfach nur heissen das nach unseren Policies ein Account-Lockout nach drei erfolglosen Anmeldeversuchen stattfindet.

 

Problem ist wie folgt:

 

Ein bei uns im Netzwerk von den Admins genutzter Domain-Admin-Account (auch von diversen Servern) wird in regelmaessigen Abstaenden gesperrt.

In den Eventlogs unserer DCs ( (beide Win 2K3 Server, kein SP) wird die Sperrung zwar angezeigt (644), nur wird dort nicht wie sonst ueblich der Caller Machine Name angezeigt, (Feld ist leer) was das ganze nun ein wenig schwierig macht diejenige Maschine zu finden, die fuer den Lockout sorgt.

 

Deswegen hab ich die Hoffnung, ob es eventuell Dritt-Tools oder andere Moeglichkeiten gibt einen Hinweis auf den Uebeltaeter zu bekommen