域控场景下windows安全日志的分析--审计认证行为和命令的历史记录

一、域控windows安全日志基本操作

1、打开powershell或者cmd

1 #gpedit.msc

打开配置：

关于账户安全性的策略配置在账户配置哪里

2、打开控制面板->系统与安全->事件查看器->windows日志->安全：

希望这里配置的时间足够长久，以便于查看日志

选择筛选器，筛选这一条：

来查看这个是很常用的一个，当然审核成功也很有用，那是你知道那个时间确定被入侵的时候用到。

2、场景分析：

2.1、域账号被锁定：

原因：可能是病毒、脚本、锁定账号名下的计划任务或者黑客攻击爆破等行为导致。

追查思路：找到时间ID4740，这个是域账号被锁定的标志，可以找到一些信息，运气好的话能定位到导致此问题的IP或者进程。至少可以确定准确的锁定时间，然后回溯之前的审计失败的认证尝试报文ID4625，找到源IP或者主机名。下一步再去排查相关的IP或者主机名。

 

#######################