Hur man får användares inloggningshistorik i Active Directory
Det är viktigt att visa och analysera användarnas inloggningshistorik eftersom det hjälper till att förutse inloggningsmönster och skapa granskningsloggar. Du kan få inloggningshistoriken för användare med hjälp av Windows PowerShell. Alternativt kan du använda en heltäckande AD-granskningslösning som t.ex. ADAudit Plus som kommer att förenkla saker och ting för dig.
I denna artikel jämförs metoden för att få information om inloggningshistorik för användare med hjälp av Windows PowerShell och ADAudit Plus.
PowerShell
Steg att ta för att få användares inloggningshistorik:
- Identifiera den domän som du vill hämta rapporten från.
- Identifiera den primära DC:n för att hämta rapporten.
- Kompilera skriptet.
- Kör den i Windows PowerShell
- Om du vill exportera rapporten i ett visst filformat måste du anpassa cmdlet efter behov.
Exempel på Windows PowerShell-skript
# Find DC list from Active Directory
$DCs = Get-ADDomainController -Filter *
# Define time for report (default is 1 day)
$startDate = (get-date).AddDays(-1)
# Store successful logon events from security logs with the specified dates and workstation/IP in an array
foreach ($DC in $DCs){
$slogonevents = Get-Eventlog -LogName Security -ComputerName $DC.Hostname -after $startDate | where {$_.eventID -eq 4624 }}
# Crawl through events; print all logon history with type, date/time, status, account name, computer and IP address if user logged on remotely
foreach ($e in $slogonevents){
# Logon Successful Events
# Local (Logon Type 2)
if (($e.EventID -eq 4624 ) -and ($e.ReplacementStrings[8] -eq 2)){
write-host "Type: Local Logon`tDate: "$e.TimeGenerated "`tStatus: Success`tUser: "$e.ReplacementStrings[5] "`tWorkstation: "$e.ReplacementStrings[11]
}
# Remote (Logon Type 10)
if (($e.EventID -eq 4624 ) -and ($e.ReplacementStrings[8] -eq 10)){
write-host "Type: Remote Logon`tDate: "$e.TimeGenerated "`tStatus: Success`tUser: "$e.ReplacementStrings[5] "`tWorkstation: "$e.ReplacementStrings[11] "`tIP Address: "$e.ReplacementStrings[18]
}}
Copied
ADAudit Plus
För att få rapporten,
- Logga in på ADAudit Plus-webbkonsolen.
- Navigera till fliken Rapporter -> Avsnittet Lokal inloggning-utloggning -> Rapport om inloggningsaktivitet.
- I fältet "Domän" som du ser högst upp i det högra hörnet väljer du antingen den obligatoriska domänen eller väljer "Alla domäner".
- Använd alternativet "Sök" för att filtrera efter specifikt användarnamn, eller domänkontrollant, vid behov.
- Få hela inloggningshistoriken för användare under en valfri period.
- Exportera rapporten i ett valfritt format: CSV, PDF, XLS eller HTML.
Det följande är begränsningarna vid användning av PowerShell för att få inloggningshistorik för användare:
- Vi kan endast köra ovanstående skript från datorerna som har rollen Domäntjänster i Active Directory.
- För att ändra datumformat och för att tillämpa olika tidszoner på datumresultaten måste skriptet ändras eller skapas varje gång.
- Det är svårt att exportera rapporten i andra format.
- Att tillämpa fler filter, som t.ex. "Under kontorstider", "Period" och "Exportera som", kommer att öka LDAP-frågans komplexitet.
Däremot kommer ADAudit Plus att skanna alla DC:er i domänen och ge dig hela historiken över användarnas inloggningar i form av en intuitiv rapport.
Relaterade resurser
Inloggning och utloggning
- Hur man får den aktuella inloggade användaren på PowerShell
- Så här hittar du vilken dator en användare är inloggad på
- Hur man på distans kan se vilka användare som är inloggade i Windows
- Så här får du den aktuella inloggade användaren
- Hur man får användarinloggningshistorik med PowerShell
- Hämta inloggningar för Terminal Server
- Få en granskningsrapport om inloggnings- och utloggningsaktiviteter för AD-användarkonton
- Hur man får misslyckade inloggningsförsök med hjälp av powershell
- Hämta-rdusersession
- Hur man får den senast inloggade användarens fjärrdator med powershell
- Hur man hittar datorn som en användare loggade in på med hjälp av powershell
- Hur man får den senaste inloggningen av användaren med powershell
- Så här distribuerar du fjärrskrivbordstjänster med hjälp av Powershell
Spärrade konton
Händelseloggar för Windows
Granskning av filserver
- Så här övervakar du en Windows-mapp efter nya filer
- Hur man övervakar mappen för ändringar med hjälp av powershell
- Så här kontrollerar du mappbehörigheter med hjälp av powershell
- Powershell Filesystemwatcher - Spåra ändringar i filer och mappar
- NTFSSäkerhetsmodul powershell
- Hämta-filintegritet
- Hur man granskar failover-kluster med hjälp av powershell
- Hur man får filskapningsdatum med hjälp av powershell
- Hur man får den senast ändrade filen i katalogen med hjälp av powershell
- Powershell-skript för att hitta filer efter ägare
Granskning av Active Directory
- Hur man hittar vem som skapade ett AD-konto med hjälp av powershell
- Hur man granskar Active Directory med hjälp av powershell
- Hämta Active Directory-rapporter med hjälp av powershell
- Hur man hittar vem som raderade ett AD-objekt med hjälp av powershell
- Hur man kontrollerar Active Directory-hälsan med hjälp av powershell
- Hur man får privilegierat konto med hjälp av powershell
- Hämta GPO-rapporter utan powershell
- Hur man granskar LAPS-lösenord med hjälp av powershell
- Hur man får adfs-egenskaper med hjälp av powershell -ADAudit Plus
- Hur man granskar ändringar i Active Directory med hjälp av Powershell
- Hur man övervakar realtidsprocessen med hjälp av powershell
Azure AD
Server auditing
Computer start-ups and shut-downs