11
W2k3-r2 System sperrt wahllos Benutzerkonten
W2k3-r2 System sperrt wahllos Benutzerkonten, obwohl keine ungültigen Anmeldeversuche vorliegen
Hallo Forum,
kennt jemand folgendes Verhalten eines w2k3-Domaincontrollers (aktueller Patchstand):
das System setzt scheinbar wahllos Benutzerkonten auf "gesperrt".
Eigentlich passiert das lt. Richtlinie nach 3 ungültigen Anmeldeversuchen, davon ist aber nichts zu sehen. Teilweise kommt es sogar vor, dass ich die Sperre entferne und ein paar Minuten später ist sie wieder drin.
Der Virenscanner (McAffee, aktuell) findet nichts Verdächtiges und auch sonst laufen alle Dienste wohl normal (Sybase SQL, David, Acronis...).
Ich kann in den Ereignissen nichts finden; es ist keine neue Software dazugekommen; es gibt keine weiteren Admin-Konten ausser dem "Administrator".
Wäre schön, wenn da jemand Bescheid weiss
DANKE
Jörg
kennt jemand folgendes Verhalten eines w2k3-Domaincontrollers (aktueller Patchstand):
das System setzt scheinbar wahllos Benutzerkonten auf "gesperrt".
Eigentlich passiert das lt. Richtlinie nach 3 ungültigen Anmeldeversuchen, davon ist aber nichts zu sehen. Teilweise kommt es sogar vor, dass ich die Sperre entferne und ein paar Minuten später ist sie wieder drin.
Der Virenscanner (McAffee, aktuell) findet nichts Verdächtiges und auch sonst laufen alle Dienste wohl normal (Sybase SQL, David, Acronis...).
Ich kann in den Ereignissen nichts finden; es ist keine neue Software dazugekommen; es gibt keine weiteren Admin-Konten ausser dem "Administrator".
Wäre schön, wenn da jemand Bescheid weiss
DANKE
Jörg
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 148116
Url: https://administrator.de/contentid/148116
Printed on: April 25, 2024 at 19:04 o'clock
11 Comments
Latest comment
Au ja, das würde mich auch interessieren, von Zeit zu Zeit stolpere ich auch über selbiges Phänomen !
Seit gnadenloser Ausmerzung fast aller roten Kreuze aus dem Eventlog ists zwar nicht mehr aufgetreten, aber wer weiß ;)
Gruß wolfgang
Seit gnadenloser Ausmerzung fast aller roten Kreuze aus dem Eventlog ists zwar nicht mehr aufgetreten, aber wer weiß ;)
Gruß wolfgang
Bist Du Dir sicher, dass die gesperrten Konten nicht auf irgendeiner Maschine als Service-Account für Dienste oder geplante Dienste eingetragen sind und diese nach Ablauf Kennwortalter mit dem alten Kennwort sperren?
Wann das Kennwort das letzte mal geändert wurde, kannst Du jedenfalls bei den entsprechenden Accounts nachprüfen.
Wann das Kennwort das letzte mal geändert wurde, kannst Du jedenfalls bei den entsprechenden Accounts nachprüfen.
hallo Karo,
ja, da bin ich sicher. Es geht um Konten, die NUR von Benutzern verwendet werden, teilweise mit der Option "Kennwort läuft nie ab".
Gruss Jörg
ja, da bin ich sicher. Es geht um Konten, die NUR von Benutzern verwendet werden, teilweise mit der Option "Kennwort läuft nie ab".
Gruss Jörg
Das hat NICHTS zu bedeuten. Aus eigener leidvoller Erfahrung schreibe ich das. Was hindert einen User seinen eigenen Account für einen Service herzunehmen? Was hindert es jemanden einen 'never Expires' Account ein neues Password zu verprängeln.
Ich habe schon mehrmals das Vergnügen gehabt Auswertungen der Services und Task auf Clients zu machen um solche Probs in den Griff zu bekommen. Bisher immer Bingo....
Ich habe schon mehrmals das Vergnügen gehabt Auswertungen der Services und Task auf Clients zu machen um solche Probs in den Griff zu bekommen. Bisher immer Bingo....
hallo Karo,
ok... das sind deine Erfahrungen - ich habe durchaus Ähnliche; prinzipiell ist dem Windows-user alles zuzutrauen).
Da es alle user in unregelmässigen Abständen trifft und die Konten keine lokalen admin-Rechte haben, sind neue Services erstmal auszuschliessen.
Ich suche also eine Antwort für den Fall, dass die Sperrung NICHT durch "Missbrauch" der user ausgelöst wird.
Kennt sonst noch jemand das Verhalten?
DANKE + Gruss
Jörg
ok... das sind deine Erfahrungen - ich habe durchaus Ähnliche; prinzipiell ist dem Windows-user alles zuzutrauen
).Da es alle user in unregelmässigen Abständen trifft und die Konten keine lokalen admin-Rechte haben, sind neue Services erstmal auszuschliessen.
Ich suche also eine Antwort für den Fall, dass die Sperrung NICHT durch "Missbrauch" der user ausgelöst wird.
Kennt sonst noch jemand das Verhalten?
DANKE + Gruss
Jörg
Ich hatte das Problem auch eine lange Zeit lang. Aufgetreten ist dies dadurch, dass Nutzer ihre privaten Notebooks bei uns auch verwenden durften und sich damit für die Dateifreigabe gegenüber dem AD Auth. haben. Teilweise haben sie sich dann fester Layufwerke eingerichtet und die Zugangsdaten gespeichert. Nun ist bei uns so das die Nutzer alle 28 Tage ihr Kennwort ändern mussten. Die Privatrechner haben das dann nicht mitbekommen und die drei falschen Kennwort versuche ausgelöst beim Versuch des Verbindungsaufbau zu Druckern / Netzfreigaben.
Vielleicht ist das ja ein Anhaltspunkt. Ansonsten ist mir das Verhalten noch nicht untergekommen. Ausschließlich durch fehlerhafte Userinteraktionen.
Vielleicht ist das ja ein Anhaltspunkt. Ansonsten ist mir das Verhalten noch nicht untergekommen. Ausschließlich durch fehlerhafte Userinteraktionen.
Hi.
Schalt doch zunächst mal die Überwachung der Anmeldeversuche am DC an, somit siehst Du, wer wo wann Logins vermasselt.
Schalt doch zunächst mal die Überwachung der Anmeldeversuche am DC an, somit siehst Du, wer wo wann Logins vermasselt.
Hi DerWoWusste,
die Funktion kenne ich nicht - wie geht das?
DANKE
Gruss
die Funktion kenne ich nicht - wie geht das?
DANKE
Gruss
Du kannst eine Policy für DCs erstellen und dort unter Computerkonfig. - Windowseinstellungen - Sicherheitseinst. - lok. Einst. - Überwachungsrichtlinie die Anmeldungen überwachen lassen.
Hi,
kann es sein das Du evtl. einen Webfilterserver (z.B. Websense) benutzt, der auf dem Domaincontroller die Authorisierung des Users prüft?
Wenn ja kann das eine Ursache sein weil dieser die Authorisierung in Intervallen abfragt. Das kannst du dann nur fixen durch andere Intervalle.
kann es sein das Du evtl. einen Webfilterserver (z.B. Websense) benutzt, der auf dem Domaincontroller die Authorisierung des Users prüft?
Wenn ja kann das eine Ursache sein weil dieser die Authorisierung in Intervallen abfragt. Das kannst du dann nur fixen durch andere Intervalle.
Moin,
Auch wenn da ein Dienst wie z.B Websense eingerichtet wäre - denn der genannte (und viele andere unmögliche Möglichkeiten) beherrscht LDAP.
Eine LDAP Abfrage ist sinnigerweise niemals mit dem Passwort eines Users verbunden, sondern prüft nur - ob und in welcher Gruppe derjenige ist und ob für diese Gruppe sperren eingerichtet sind.
Nimm einfach ein führendes
in dein Loginscript - denn Rilnaista hat den plausibelsten Weg ja bereits genannt.
Gruß
Zitat von @DocuSnap-Dude:
Hi,
kann es sein das Du evtl. einen Webfilterserver (z.B. Websense) benutzt, der auf dem Domaincontroller die Authorisierung des Users prüft?
Hi,
kann es sein das Du evtl. einen Webfilterserver (z.B. Websense) benutzt, der auf dem Domaincontroller die Authorisierung des Users prüft?
Auch wenn da ein Dienst wie z.B Websense eingerichtet wäre - denn der genannte (und viele andere unmögliche Möglichkeiten) beherrscht LDAP.
Eine LDAP Abfrage ist sinnigerweise niemals mit dem Passwort eines Users verbunden, sondern prüft nur - ob und in welcher Gruppe derjenige ist und ob für diese Gruppe sperren eingerichtet sind.
Nimm einfach ein führendes
net use * /delete /yesGruß
