Windows Serverを管理する人コミュのドメインのユーザのログオン状況を監視するには？

初めまして。

Windows Server 2003（R2)でドメインを管理しているものです。
ゆゆしき事態なのですが、管理者権限ユーザーで、
担当者以外がログインしているような状況がありました。
まだ疑惑の段階なのですが、はっきりさせる為に
ドメインのユーザーのログオン状況を監視できないか
客先から依頼がありました。

ネットで調べた所　↓　2000Serverではありますがこんな方法を見つけました。
http://www.monyo.com/technical/windows/35.html
（上記URLのページの下の方のスクリプトを使用した例の事です）

皆さんのなかで、上記の方法を試された方がいらっしゃいましたら
注意点など教えていただけないでしょうか？

また上記の方法以外でこのような方法もある、というのも
もし有りましたら教えてください。

ちなみに、有料ツールなどはなるべく使用したくありません。
（客先も節約モードに入っているので）

どうかアドバイスをよろしくお願いいたします。

コメント(11)

最初
全て
最新の40件

[2] mixiユーザー 02月01日 21:29

＞MURAさん

ご意見ありがとうございます。
今回のログオン監視については犯人探しが目的ではなく
クラッキングが事実かどうかを知る一つの試金石的な要素が強いです。
運用体制については既に委員会を設けて検討中ですので
それとは別に今回のご相談した処置を考えたいのです。

またそのアカウントは、おいそれとパスワードリセットができないアカウントなのです。

その上で改めて上記について技術的な事をご相談したいのです。

[3] mixiユーザー 02月01日 21:33

SystemCenterの試用版でも試してみたら？

たしかログ管理もあったはずだよ。

[4] mixiユーザー 02月01日 21:47

＞ジェンカさん

情報ありがとうございました。
SystemCenter、さっそく調べてみます。

[5] mixiユーザー 02月02日 13:41

アミバ様　初めまして。
拓馬と申します。

ドメインに管理者権限でログオンするには、Domain Admins グループに所属している必要があるため、不正アクセスとしてみなされているアカウントは上記グループに所属しているという認識でよろしいでしょうか？

リンクにもございました "アカウントログオンイベントの監査" を使えば、どのユーザーアカウントでドメインにログオンを試みたのかを確認することが可能ですね。
これは、Kerberos における認証の中で AS 交換における TGT 発行の挙動を監査できるためです。

上記の方法を使った場合の注意点としては、同一サイトに DC が複数存在するような場合では、クライアントが認証先として選択する DC は変更される可能性があるため、当該サイトの DC 全台で監査ログを取得する必要があります。
サイトの DC が全台オフラインになっていた場合には、リモートサイトの DC にて認証が実施される場合があり、この場合にはドメイン全台の DC での監査ログの取得が必要になります。

ただし、もし仮に不正アクセスをしていると思われるユーザーが、管理者権限でのオペレーションを可能にしているのであれば、監査ログを消すことさえ出来るので、解決の糸口となるかどうかは難しいかもしれません。

[6] mixiユーザー 02月02日 14:49

＞拓馬様

詳細な情報をありがとうございます。
注意点がよく分かりました。
ご指摘の通り、同一サイトに複数DCがあるので
もし実行する時には、全台のDCでログを取る様にしたいと思います。

クラッキングしたユーザーによるログ削除の可能性も頭に入れて
運用したいと思います。
大変ありがとうございました。

[7] mixiユーザー 02月02日 20:48

そーいうのもクラッキングって言うのかな？

[8] mixiユーザー 02月03日 02:16

> 管理者権限ユーザーで、担当者以外がログインしているような状況がありました。

が、どうやって明らかになったのかという話は知らんですが、「アカウントログオンイベントの監査」はデフォルトで有効になっていると思いますので、別にログオンスクリプトを仕込まなくてもログオン履歴を調査することはできます。
各ドメコンのイベントビューアでセキュリティのログ開いて、メニューの「表示」→「フィルタ」で、イベントIDの欄に 672 とか指定すれば良い。

あと、Windowsでイベントログ内のイベントを個別に消去する方法は無いと思われますので、ある時点から以前のログがごっそり無い（ログクリアされた）とかいう場合以外はログ削除の可能性はあまり考えなくていいと思いますよ。ちなみに「イベントログを消去した」という行為はそれはそれでログに残ります（イベントID 517）。

> そーいうのもクラッキングって言うのかな？

不正アクセス（＝クラッキング）の成立要件は下の第三条ね。

「不正アクセス行為の禁止等に関する法律」
http://www.ipa.go.jp/security/ciadr/law199908.html

[9] mixiユーザー 02月03日 02:43

.>そう　様

＞「アカウントログオンイベントの監査」はデフォルトで有効になっていると思いますので、別にログオンスクリプトを仕込まなくてもログオン履歴を調査することはできます。

それは知っていますが、既出リンク先の
http://www.monyo.com/technical/windows/35.html
のページにある

"一方「ログオンイベントの監査」とは、図7のようにサーバに対するセッションの確立、切断を監査する機構になります。例えばサーバ上の共有ディレクトリに接続すると、セッションの確立が行われるため、イベントログに「ユーザのログオン」(ID: 540)が記録されます。しかし、セッションは明示的に処理が行われたり、デフォルトで15分無通信状態が続いたりした場合に切断され、イベントログには「ユーザのログオフ」(ID: 538)が記録されます。これは対話的なログオン、ログオフとは無関係に行われます。

また、そもそも「318253: ユーザーログオフ時に監査が機能しない」に記述されているように、監査が機能しないケースもあります。 "

これは、2003Serverには当てはまらないのでしょうか？

[10] mixiユーザー 02月03日 03:07

あ、ログオフまでを追跡したいということですね。
それでしたら、ログオン／ログオフスクリプトを使って記録する方法は必要で、リンク先の方法は、まあ動くと思いますよ。

# objADSys.GetAnyDCName をログオン先のサーバーとして扱っているのは多分間違いですが
## そうか、こいつが元ネタか・・（こちらの話です）

[11] mixiユーザー 02月03日 03:17

＞そう　様

あ、
＞# objADSys.GetAnyDCName をログオン先のサーバーとして扱っているのは多分間違いですが

そうなのですか。分かりました。
もしスクリプトを組む事になったら気をつけてみます。

情報ありがとうございました。

ログインすると、みんなのコメントがもっと見れるよ