Como verificar quem redefiniu a senha para um usuário em particular no diretório ativo em um servidor Windows?

3

Eu tenho os detalhes sobre uma conta de usuário quando ela foi modificada pela última vez (uma redefinição de senha foi feita). Mas eu estaria interessado em saber quem redefinir a senha para este usuário. Existe alguma maneira eu posso descobrir isso no Windows 2012 Active Directory Server.

    
por NMS 21.04.2015 / 18:34

2 respostas

7

Habilite a auditoria avançada nos controladores de domínio para gerenciamento de contas: Auditoria de gerenciamento de contas de usuário

Observe que, se você ativar a auditoria avançada, não deverá usar a auditoria legada.

Aqui estão alguns dos eventos de interesse:

4723: Foi feita uma tentativa de alterar a senha de uma conta
link

O usuário tentou alterar sua própria senha. Assunto e alvo devem sempre corresponder. Não confunda esse evento com 4724.

Este evento é registrado como uma falha se sua nova senha não atender à política de senha.

Se o usuário não inserir corretamente a senha antiga, esse evento não será registrado. Em vez disso, para contas de domínio, um 4771 é registrado com kadmin / changepw como o nome do serviço.

Este evento é registrado tanto para contas SAM locais como para contas de domínio.

Você também verá a ID do evento 4738 informando sobre as mesmas informações.

4738: Uma conta de usuário foi alterada link

O usuário identificado por Assunto: alterou o usuário identificado por Conta de destino :.

Os atributos mostram algumas das propriedades que foram definidas no momento em que a conta foi alterada.

Este evento é registrado tanto para contas SAM locais como para contas de domínio.

Dependendo do que foi alterado, você poderá ver outros eventos de Gerenciamento de conta de usuário específicos de determinadas operações, como redefinições de senha.

4724: Foi feita uma tentativa de redefinir uma senha de conta
link

O assunto tentou redefinir a senha do alvo:

Não confunda este evento com 4723.

Este evento é registrado como uma falha se a nova senha não atender à política de senha.

Este evento é registrado tanto para contas SAM locais como para contas de domínio.

Você também verá um ou mais ID de evento 4738s informando sobre as mesmas informações.

    
por 21.04.2015 / 19:00
0

Você pode ativar a auditoria para alterações no serviço de diretório. Eu não sei definitivamente se as redefinições de senha aparecem lá. Eles certamente serão alterados, mas a auditoria pode capturar apenas modificações "normais" de atributos, o que significa que a auditoria pode ter a visão de que a mudança foi realizada sob a autoridade de um DC, e não no contexto de um usuário específico ou usuário administrativo.

A este respeito, modificação de senha pode ser uma circunstância especial. Por que vale a pena ...

link link

Sem a auditoria ativada, meu palpite é que, mesmo se você acessar o diretório, só obterá informações sobre o que foi feito e em qual controlador de domínio, mas não qual contexto de segurança dos usuários foi responsável pela alteração.

    
por 21.04.2015 / 18:51