# Wie kann man die Anmeldeaktivität von Domänencontrollern überprüfen?

Domänencontroller sind die wichtigsten Komponenten einer jeden Active Directory-Umgebung, von denen aus alle AD-Änderungen vorgenommen werden. Die kontinuierliche Überwachung der DC-Anmeldeaktivität ermöglicht es IT-Administratoren daher, anomale Aktivitäten zu erkennen, den Missbrauch von Berechtigungen zu identifizieren, Bedrohungen abzuschwächen und die forensische Analyse im Falle eines Missgeschicks zu beschleunigen.

## Mit Native AD Auditing

Mit der nativen AD-Überwachung können Sie die Anmeldeaktivitäten von Domänencontrollern wie folgt überwachen:

### Schritt 1: Aktivieren Sie die erforderlichen Überwachungsrichtlinien

1. Starten Sie den Server Manager in Ihrem Windows Server.
2. Wählen Sie unter Verwalten die Option „Gruppenrichtlinienverwaltung“ und starten Sie diese Konsole.
3. Navigieren Sie zu Forest → Domäne → Ihre Domäne → Domänencontroller.
4. Erstellen Sie ein neues GPO und verknüpfen Sie es mit der Domäne, die den zu überwachenden DC enthält, oder bearbeiten Sie ein vorhandenes GPO, das mit der Domäne verknüpft ist, um den Gruppenrichtlinien-Verwaltungseditor zu öffnen.
5. Navigieren Sie zu Computerkonfiguration → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Überwachungsrichtlinie.
6. Die Überwachungsrichtlinie listet alle ihre Teilrichtlinien im rechten Bereich auf, wie in der Abbildung unten dargestellt.

   ![how-to-audit-domain-controller-logon-activity](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-audit-domain-controller-logon-activity-1.png)

7. Schalten Sie unter Überwachungsrichtlinie die Überwachung für Erfolgs- und Fehlerereignisse der folgenden Richtlinien ein:
   - **Ereignisse bei der Kontoanmeldung prüfen**
   - **Logon-Ereignisse prüfen**
8. Klicken Sie auf „Anwenden“ und „OK“, um das Fenster Eigenschaften zu schließen.
9. Um diese Änderungen in der gesamten Domäne zu erzwingen, führen Sie den Befehl „gpupdate /force“ in der Ausführungskonsole

### Schritt 2: Anzeigen von Ereignissen im Event Viewer

1. Gehen Sie im Fenster Event Viewer zu Windows-Protokolle → Sicherheitsprotokolle.
2. Klicken Sie in der rechten Leiste unter Aktion auf „Aktuelles Protokoll filtern“.
3. Suchen Sie nach den Ereignis-IDs 4624 und 4634. Diese identifizieren, wann ein Konto an- bzw. abgemeldet wurde.
4. Sie können auf das Ereignis doppelklicken, um die Ereigniseigenschaften anzuzeigen.

   ![how-to-audit-domain-controller-logon-activity](https://www.manageengine.com/de/active-directory-audit/how-to/images/how-to-audit-domain-controller-logon-activity-2.png)

5. Diese Schritte müssen für alle Domänencontroller in der Active Directory-Umgebung wiederholt werden, um die Anmeldeaktivitäten zu überprüfen. Die manuelle Überprüfung jedes Ereignisses ist zeitaufwändig, ineffizient und für große Organisationen praktisch unmöglich.