Wenn Audittrails oder Überwachungspfade zu Benutzern anstehen, müssen Administratoren öfter den Verlauf der Benutzeranmeldungen abrufen. Dies trägt wesentlich zum Abgleich des Benutzerverhaltens mit Anmeldungsaktivitäten bei. Obwohl sich diese Angaben durchaus mit Windows PowerShell abrufen lassen, gestalten sich Skriptentwicklung, -kompilierung, -ausführung und -anpassung an unterschiedlichen Bedarf nicht gerade schnell und einfach.
Active-Directory-Überwachungslösungen wie ManageEngine ADAudit Plus helfen Administratoren mit sofort abrufbaren Berichten, die nötigen Daten zu dieser und vielfältigen weiteren Problemstellungen schnell und einfach an die Hand zu bekommen. Nachstehend ein Vergleich zum Abrufen eines AD-Benutzer-Anmeldungsverlaufes mit Windows PowerShell und ADAudit Plus.
# Find DC list from Active Directory $DCs = Get-ADDomainController -Filter * # Define time for report (default is 1 day) $startDate = (get-date).AddDays(-1) # Store successful logon events from security logs with the specified dates and workstation/IP in an array foreach ($DC in $DCs){ $slogonevents = Get-Eventlog -LogName Security -ComputerName $DC.Hostname -after $startDate | where {$_.eventID -eq 4624 }} # Crawl through events; print all logon history with type, date/time, status, account name, computer and IP address if user logged on remotely foreach ($e in $slogonevents){ # Logon Successful Events # Local (Logon Type 2) if (($e.EventID -eq 4624 ) -and ($e.ReplacementStrings[8] -eq 2)){ write-host "Type: Local Logon`tDate: "$e.TimeGenerated "`tStatus: Success`tUser: "$e.ReplacementStrings[5] "`tWorkstation: "$e.ReplacementStrings[11] } # Remote (Logon Type 10) if (($e.EventID -eq 4624 ) -and ($e.ReplacementStrings[8] -eq 10)){ write-host "Type: Remote Logon`tDate: "$e.TimeGenerated "`tStatus: Success`tUser: "$e.ReplacementStrings[5] "`tWorkstation: "$e.ReplacementStrings[11] "`tIP Address: "$e.ReplacementStrings[18] }}
Bildschirmabbildung
Nachstehend die Beschränkungen, die Ihnen beim Abrufen von Benutzeranmeldungsverläufen mit nativen Werkzeugen wie Windows PowerShell das Leben nicht gerade einfacher machen:
Das bedeutet, dass Sie Daten von sämtlichen DCs sowie Arbeitsstationen und anderen Windows-Servern sammeln müssen, um eine vollständige Übersicht über sämtliche Anmeldungs- und Abmeldungsaktivitäten Ihrer Umgebung zu erhalten. Ein arbeitsintensiver und lästiger Prozess, der bei Systemadministratoren nicht sehr hoch im Kurs steht.
ADAudit Plus erzeugt den Bericht durch automatisches Scannen sämtlicher Domänencontroller der Domäne zum Abrufen der Anmeldungsverläufe, zeigt diesen anschließend über eine unkomplizierte und intuitiv bedienbare Oberfläche an.