Cara menganalisis kegagalan login dan pra-otentikasi untuk Windows Server 2003 R2 dan yang lebih lama
Menganalisis semua kegagalan login dan pra-autentikasi dalam organisasi Anda bisa jadi membosankan. Ada ribuan kegagalan login yang disebabkan oleh beberapa alasan. Di sini kita akan membahas berbagai ID peristiwa dan kode kesalahan serta bagaimana Anda dapat menyederhanakan proses peninjauan kegagalan login.
Pertama, Anda perlu mengetahui ID peristiwa yang terkait dengan kegagalan login dan pra-otentikasi.
ID kejadian kegagalan login adalah: 529, 530, 531, 532, 533, 534, 535, 536, 537 dan 539.
Contoh deskripsi peristiwa untuk peristiwa 529 adalah:
Logon Failure
Reason: Unknown user name or bad password
User Name: %1
Domain: %2
Logon Type: %3
Logon Process: %4
Authentication Package: %5
Workstation Name: %6Server Windows 2003 menambahkan beberapa bidang tambahan dalam deskripsi acara:
Caller User Name:-
Caller Domain:-
Caller Logon ID:-
Caller Process ID:-
Transited Services:-
Source Network Address:10.42.42.180
Source Port:0CATATAN: Satu-satunya perbedaan dalam ID kejadian 529, 530, 531, 532, 533, 534, 535, 536, 537 dan 539 adalah alasan kegagalan. Lihat di bawah:
Jadi bagaimana kita menganalisis peristiwa-peristiwa ini secara efisien dan efektif? Anda perlu melihat ke dalam deskripsi acara. Dalam deskripsi peristiwa kegagalan login kami hanya memperhatikan alasan kegagalan, nama pengguna, jenis logon, nama stasiun kerja, dan alamat jaringan sumber. Sisanya adalah kebisingan.
Jika Anda membuat laporan fleksibel dengan EventTracker, laporan tersebut hanya akan menampilkan bidang yang wajib diisi, bukan keseluruhan laporan. Ini juga memberikan ringkasan berdasarkan jumlah total kejadian untuk setiap jenis kegagalan dan nama pengguna. Lihat contoh di bawah ini:
Daripada membahas ratusan halaman laporan yang panjang, laporan di bawah ini memberikan analisis singkat tentang kegagalan login berdasarkan alasan kegagalan dan nama pengguna. Hal ini memungkinkan Anda menganalisis kegagalan login di lingkungan Anda secara efisien dan efektif.
Detail
Sekarang mari kita bahas peristiwa kegagalan pra-otentikasi.
Pre-authentication failure event id is: 675.
User Name: %1
User ID: %2
Service Name: %3
Pre-Authentication Type: %4
Failure Code: %5
Client Address: %6Di sini sangat penting untuk menganalisis kode kegagalan. Ada banyak sekali kode kegagalan. Saya akan merekomendasikan untuk berkonsentrasi pada hal-hal di bawah ini:
Saya akan merekomendasikan penggunaan format laporan fleksibel yang sama seperti yang kami lakukan di atas untuk mendapatkan jumlah ringkasan berdasarkan kode kegagalan dan nama pengguna.
Detail
Hal ini menunjukkan bahwa sangat efisien dan efektif untuk menganalisis kegagalan pra-autentikasi menggunakan metode ini dibandingkan dengan cara tradisional, yang tidak memungkinkan Anda mengetahui berapa banyak kegagalan yang dikaitkan dengan setiap nama pengguna atau berapa banyak kode kegagalan masing-masing (jumlah ringkasan, dll. .) ada, atau berapa banyak kegagalan yang terkait dengan satu stasiun kerja tertentu, dll. Menganalisis laporan tradisional untuk ratusan peristiwa setiap hari menjadi hampir mustahil.