SC LoginTrace

Источник блокировок и неудачных входов

Бесплатно
Безопасность и журналы
Windows
v1.0
MIT

Бесплатно и без регистрацииМожно использовать в коммерческих и государственных организациях.
Данные остаются у васИнтерфейс работает в браузере, а скрипты выполняются в вашей сети.
ПрозрачноОткрытый код по лицензии MIT.

01 /

Рабочий интерфейс

Логин пользователя (sAMAccountName)Период, часовПапка для отчёта

4625 — неудачный входНеверный пароль при входе в Windows или на сервер4740 — учётная запись заблокированаПишется на контроллере с ролью PDC-эмулятора4771 — ошибка KerberosНеверный пароль при получении билета, часто старые сеансыВсе контроллеры доменаИначе — только PDC-эмулятор, этого достаточно для 4740

#Requires -Modules ActiveDirectory
# SC LoginTrace — источник блокировок и неудачных входов.
# https://shmonovstudio.ru/tools/sc-logintrace

$User = 'username'
$Controllers = (Get-ADDomainController -Filter *).HostName
$XPath = "*[System[(EventID=4625 or EventID=4740 or EventID=4771) and TimeCreated[timediff(@SystemTime) <= 86400000]]] and *[EventData[Data[@Name='TargetUserName']='$User']]"

$Rows = foreach ($DC in $Controllers) {
  try {
    Get-WinEvent -ComputerName $DC -LogName Security -FilterXPath $XPath -ErrorAction Stop | ForEach-Object {
      $Data = @{}
      ([xml]$_.ToXml()).Event.EventData.Data | ForEach-Object { $Data[$_.Name] = $_."#text" }
      [pscustomobject]@{
        Time        = $_.TimeCreated
        Controller  = $DC
        LoginEventId     = $_.Id
        # 4740 хранит имя компьютера-источника в поле TargetDomainName
        Source      = if ($_.Id -eq 4740) { $Data.TargetDomainName } elseif ($Data.WorkstationName -and $Data.WorkstationName -ne "-") { $Data.WorkstationName } else { $Data.IpAddress }
        IpAddress   = $Data.IpAddress
        Status      = if ($Data.Status) { $Data.Status } else { $Data.FailureReason }
      }
    }
  } catch {
    if ($_.FullyQualifiedErrorId -notlike "NoMatchingEventsFound*") { Write-Warning "$DC : $($_.Exception.Message)" }
  }
}

$Path = Join-Path 'C:\Reports' ("logintrace-$User-" + (Get-Date -Format 'yyyy-MM-dd-HHmm') + ".csv")
$Rows | Sort-Object Time -Descending | Export-Csv $Path -NoTypeInformation -Encoding UTF8
$Rows | Group-Object Source | Sort-Object Count -Descending | Select-Object Count, Name | Format-Table -AutoSize
Write-Host "Событий: $(@($Rows).Count). Отчёт: $Path"

XPath-запрос к журналу чувствителен к регистру: указывайте логин так, как он записан в AD. Для чтения журнала Security нужны права группы Event Log Readers или администратора домена.

Загружаем интерфейс…

02 /

Описание

SC LoginTrace помогает ответить на вопрос «кто и откуда блокирует учётную запись». Конструктор собирает запрос к журналу безопасности контроллеров домена по событиям 4740, 4625 и 4771 для нужного пользователя и периода.

03 /

Возможности

События 4740, 4625, 4771
Блокировки, неудачные входы и ошибки предварительной проверки Kerberos.
Все контроллеры домена
Запрос выполняется по каждому DC — источник блокировки не потеряется.
Имя компьютера-источника
В отчёте указано, с какой машины пришёл запрос.
Готовый CSV
Отчёт для заявки и для пользователя, который «ничего не делал».

04 /

Инструкция

Укажите логин пользователя и период поиска.
Выберите события и способ вывода.
Запустите скрипт от имени учётной записи с правом чтения журнала безопасности контроллеров домена.

05 /