fehma
Apr 08, 2005, updated at Mar 21, 2007 (UTC)
view15726
view9
0
Goto Top

Sekundenweise wird auf XP Server 2003 Event id 538 und 540 aufgeführt

GermanQuestionWindows ServerMicrosoft

538 = An und Abmeldung Event
540 = An und Abmeldung Event

Hallo ,

langsam verzweifele ich. Wir haben hier ein Netzwerk mit XP Server 2003 und bekommen im Security Event Log immer alle paar Sekunden die Event ID's 538 und 540 angezeigt. Leider finde ich nirgends Hilfe, warum diese Events so oft angezeigt werden.

Kann mir da jemand weiterhelfen ???

Danke
M.
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 9200

Url: https://administrator.de/contentid/9200

Printed on: April 26, 2024 at 10:04 o'clock

9 Comments
Latest comment
Goto Top
Member: garciam
garciam Apr 08, 2005 at 17:42:26 (UTC)
Goto Top
schon auf www.eventid.net nachgeschaut?


Gruss
Mitglied: 10545
10545 Apr 09, 2005 at 06:59:49 (UTC)
Goto Top
Hallo Fehma,

diese ID´s zeichnen Logon und Logoffs von Net-Users auf.

Siehe
http://www.microsoft.com/technet/prodtechnol/windows2000serv/maintain/m ...

Leider finde ich nirgends Hilfe, warum diese Events so oft angezeigt werden.
Kann ich mir gar nicht vorstellen ? ich habe ca. 2 Sekunden benötigt face-wink

Gruß, Rene
Member: fritzo
fritzo Apr 09, 2005 at 16:39:45 (UTC)
Goto Top
Um's kurz zu machen:

http://www.eventid.net/display.asp?eventid=538&eventno=7&source ...
http://www.eventid.net/display.asp?eventid=540&eventno=9&source ...

Entweder ist das behaviour as expected - das würde bedingen, daß Ihr sehr ausführliches Logging betreibt. Falls ja und es stört, dann stellt in den Policies das Logging so ein, daß nicht mehr jede Anmeldung geloggt wird, sondern evtl. nur noch die fehlerhaften.

Zweite Möglichkeit - es ist ein Fehler, der durch abgelaufene Benutzer- oder Maschinenkonten entsteht, die noch irgendwo angemeldet sind und versuchen, auf Ressourcen zuzugreifen. Versuch, die SID oder den Kontonamen herauszufinden und dann die entsprechende Workstation zuzuordnen - dann schau auf dieser WS nach, was dort an Verbindungen etc. gesetzt ist.

Dritte Möglichkeit - eine schlecht programmierte Anwendung, die ein sog. "Token Leak" verursacht, siehe dazu die Beschreibung zu Event 538 auf http://www.eventid.net

Grüße,
fritzo
Member: Fehma
Fehma Apr 09, 2005 at 17:47:12 (UTC)
Goto Top
Hallo,

vielen Dank für die Antworten.

Nun ja, rausfinden was die Event ID's bedeuten ist und war nicht das Problem.... aber !!!!
mein problem ist , das es kein Expected Behavoir ist. Kann ich mir nicht vorstellen, das alle 2 Sekunden ein Eintrag in den SecurityLog im Server eingetragen wird.

Ich kann mir auch nicht vorstellen, das dies bei einer normalen Anwendung so oft ( alle 2 Sekunden ) gemacht wird. Normalerweise meldet man sich an in das war es.....

Kann es an kaputten Ethernet Verkabelungen liegen, die ausfälle haben ??
Ich befürchte das das ethernet nicht richtig funktioniert... wollte aber sichergehen...

Gruß

M
Member: fritzo
fritzo Apr 10, 2005 at 02:01:21 (UTC)
Goto Top
Nun ja, rausfinden was die Event ID's bedeuten ist und war nicht das Problem.... aber !!!!

Hast Du die Postings gelesen und geprüft, ob dem evtl. so sein könnte? Bitte geh erstmal auf die Postings ein.

mein problem ist , das es kein Expected Behavoir ist. Kann ich mir nicht vorstellen,
das alle 2 Sekunden ein Eintrag in den SecurityLog im Server eingetragen wird.

jenachdem, wieviele Benutzer dran hängen, ist das schon möglich. Es kann aber auch ein fehlerhaft konfigurierter Dienstaccount sein.

Kann es an kaputten Ethernet Verkabelungen liegen, die ausfälle haben ??
Ich befürchte das das ethernet nicht richtig funktioniert... wollte aber
sichergehen...

Ich kann das zwar nicht rundweg ausschließen, es ist aber eher sehr unwahrscheinlich. 538 und 540 sind keine Fehler- sondern nur Hinweismeldungen - ergo weist das nicht auf Fehler im Netzwerk hin, sondern eher auf Fehler bzw. ein Zuviel-des-Guten bei der Konfiguration Eurer Überwachung. Prüf einfach mal die Einstellungen in Euren Policies unter Computerkonfiguration / Sicherheitseinstellungen / Überwachungsrichtlinien - poste evtl. mal, was dort an Flags gesetzt ist, dann kann man besser beurteilen, ob es als normal anzusehen ist oder nicht.
Member: Fehma
Fehma Apr 26, 2005 at 07:39:22 (UTC)
Goto Top
Hallo,

erst einmal vielen Dank für die schnellen Antworten.

Es war in der Tat eine Kaputte Dose.... Die hat dieses ganzes Durcheinander erzeugt.
Ich danke euch....

Marcus
Member: fritzo
fritzo Apr 26, 2005 at 18:20:58 (UTC)
Goto Top
that much about fishing in murky waters face-wink
Member: fritzo
fritzo Apr 26, 2005 at 18:22:29 (UTC)
Goto Top
--- FILE CLOSED ---

face-wink

Grüße,
fritzo
Member: GrEEnbYte
GrEEnbYte Mar 21, 2007 at 09:16:28 (UTC)
Goto Top
Hallo habe das gleiche Problem
Manchmal werden user auf clients nur mit einem lokalen Profil verbunden (und nicht dem servergespeicherten). Beim nächsten Anmelden klappts dann wieder…. Evtl hängts mit den vielen An/Abmeldungen zusammen?? Ich würde das Problem daher gern lösen.
Das Problem der vielen An/Abmelde einträge wurde in diesem Forum schon mehrfach angesprochen, aber leider ohne endgültige Lösung und .
Ich würde gern wissen, wie die Leute die die das Problem hatten damit umgehen. Ignorieren?? Über eine Antwort würd ich mich freuen
MIchael
GermanQuestionWindows ServerMicrosoft