-
Mit Native AD Auditing
-
Mit ADAudit Plus
Umfassende Berichte zum Verfolgen von Computer-Starts und Shutdowns.
ADAudit Plus ist eine umfassende Active Directory-Überwachungslösung, die Ihnen hilft, lokale An- und Abmeldungen von Domänenbenutzern zu überwachen und zu überprüfen. Es kann auch andere kritische Ereignisse verfolgen, die zu Netzwerkunterbrechungen führen können. Mit ADAudit Plus können Sie die Starts und Shutdowns aller Computer innerhalb Ihrer Domäne verfolgen.
Die vorgefertigten Berichte der Software, die Details zu den Starts und Shutdowns von Computern enthalten, können automatisch erstellt und in bestimmten Abständen per E-Mail versandt werden. Sie können diese Berichte auch in ein Format Ihrer Wahl exportieren. So können Sie mit ADAudit Plus auf die Berichte zum Starten und Herunterfahren von Computern zugreifen:
Melden Sie sich bei ADAudit Plus an → gehen Sie auf die Kartei "Berichte" → navigieren Sie unter Lokale Anmelde-/Abmeldeberichte zum Bericht "Computerstart und Herunterfahren".
-
- Die Details, die Sie in diesem Bericht erhalten können, sind:
- Name des Computers
- Der Benutzer, der die Aktion ausgelöst hat
- Die Uhrzeit, zu der der Computer hochgefahren wurde
- Die Uhrzeit, zu der der Computer heruntergefahren wurde
- Die Zeit der letzten Abmeldung
- Aktive Stunden (die Zeit, in der der Computer angemeldet war bzw. die Dauer zwischen dem Hochfahren und dem entsprechenden Herunterfahren)
- Art des Herunterfahrens (es gibt zwei Arten des Herunterfahrens - das tatsächliche Herunterfahren des Computers und das vorübergehende Herunterfahren, das beim Neustart des Geräts auftritt. )
- Der Computerprozess, der das Herunterfahren ausgelöst hat
- Die Details, die Sie in diesem Bericht erhalten können, sind:
-
Mit dem Bericht "Letzter Start und letztes Herunterfahren des Computers" können Sie auch nachverfolgen, wann ein Computer zuletzt hoch- und heruntergefahren wurde. Dieser Bericht kann Details darüber liefern, wer die Aktion durchgeführt hat, wann sie stattgefunden hat und welcher Prozess das Starten oder Herunterfahren ausgelöst hat.
Melden Sie sich bei ADAudit Plus an → gehen Sie zur Registerkarte Berichte → navigieren Sie unter "Lokale Anmelde-/Abmeldeberichte" zum Bericht "Computer Startup and Shutdown".
Mit Native Auditing können Sie die Starts und Shutdowns Ihres Computers wie folgt überwachen:
-
Schritt 1: Aktivieren Sie die Richtlinie "Anmeldeereignisse prüfen"
-
Starten Sie den Server Manager in Ihrem Windows Server.
-
Wählen Sie unter Verwalten die Option "Gruppenrichtlinienverwaltung" und starten Sie diese Konsole.
-
Navigieren Sie zu Forest → Domäne → Ihre Domäne → Domänencontroller.
-
Erstellen Sie ein neues GPO und verknüpfen Sie es mit der Domäne, die das Computerobjekt enthält, oder bearbeiten Sie ein vorhandenes GPO, das mit der Domäne verknüpft ist, um den Gruppenrichtlinien-Verwaltungseditor zu öffnen.
-
Navigieren Sie zu Computerkonfiguration → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Überwachungsrichtlinie.
-
Wählen Sie unter Überwachungsrichtlinie die Option "Systemereignisse überprüfen" und aktivieren Sie die Überprüfung sowohl für Erfolgs- als auch für Fehlerereignisse.
-
Schritt 2: Aktivieren Sie die Überwachung von An- und Abmeldungen
-
Navigieren Sie nun zu Computerkonfiguration → Windows-Einstellungen → Sicherheitseinstellungen →Erweiterte Überwachungsrichtlinienkonfiguration → Systemüberwachungsrichtlinien - Lokales Gruppenrichtlinienobjekt → System.
-
Aktivieren Sie unter System die Überwachung für "Änderung des Sicherheitsstatus überwachen" (aktivieren Sie die Überwachung sowohl für Erfolge als auch für Misserfolge).
-
Schritt 3: Verfolgen Sie das Starten und Herunterfahren des Computers im Event Viewer
-
Jedes Mal, wenn ein Benutzer einen Computer startet oder herunterfährt, wird ein Ereignisprotokoll im Event Viewer aufgezeichnet. Anhand dieser Ereignisprotokolle können Sie die Betriebsstunden des Computers verfolgen. Rufen Sie den Event Viewer auf, um diese Prüfprotokolle anzuzeigen. Wählen Sie unter Windows-Protokolle die Option “System”. Sie finden alle Überwachungsprotokolle im mittleren Bereich, wie unten dargestellt.
-
Um die Ereignisprotokolle so zu filtern, dass nur die Protokolle im Zusammenhang mit dem Starten und Herunterfahren des Computers angezeigt werden, wählen Sie im rechten Fensterbereich die Option "Aktuelles Protokoll filtern". Suchen Sie einfach nach der Ereignis-ID 6005 (Computer wurde gestartet), 6006 (Computer wurde heruntergefahren). Sie können sehen, wann der Computer hoch- und heruntergefahren wurde.
Anhand dieser Informationen können Sie feststellen, wann ein Computer heruntergefahren oder hochgefahren wurde. Dieser Vorgang muss mehrmals wiederholt werden, wenn Sie mehrere Geräte überwachen wollen.
Native auditing becoming a little too much?
Simplify computer startup and shutdown auditing and reporting with ADAudit Plus.
Get Your Free Trial Fully functional 30-day trial