Netwrix Auditor for Active Directory
- Netwrix Auditor 실행 → "Search"로 이동 → 다음 기준을 지정하십시오:
- 필터 – "What"
연산자 – "Contains"
값 – "<계정 사용자 이름>" - 필터 – "Details"
연산자 – "Contains"
값 – "Locked out"
- 필터 – "What"
- "Search"를 클릭하고 결과를 검토하세요.
자세히 알아보기: Netwrix Auditor for Active Directory
네이티브 감사
- Powershell ISE를 열고 → 아래 스크립트를 실행한 다음, 잠긴 계정(잠김 처리된 사용자)의 이름을 입력하세요:
Import-Module ActiveDirectory
$UserName = Read-Host "Please enter username"
#Get main DC
$PDC = (Get-ADDomainController -Filter * | Where-Object {$_.OperationMasterRoles -contains "PDCEmulator"})
#Get user info
$UserInfo = Get-ADUser -Identity $UserName
#Search PDC for lockout events with ID 4740
$LockedOutEvents = Get-WinEvent -ComputerName $PDC.HostName -FilterHashtable @{LogName='Security';Id=4740} -ErrorAction Stop | Sort-Object -Property TimeCreated -Descending
#Parse and filter out lockout events
Foreach($Event in $LockedOutEvents)
{
If($Event | Where {$_.Properties[2].value -match $UserInfo.SID.Value})
{
$Event | Select-Object -Property @(
@{Label = 'User'; Expression = {$_.Properties[0].Value}}
@{Label = 'DomainController'; Expression = {$_.MachineName}}
@{Label = 'EventId'; Expression = {$_.Id}}
@{Label = 'LockoutTimeStamp'; Expression = {$_.TimeCreated}}
@{Label = 'Message'; Expression = {$_.Message -split "`r" | Select -First 1}}
@{Label = 'LockoutSource'; Expression = {$_.Properties[1].Value}}
)
}}
- 결과를 검토하여 잠김(lockout)의 원인을 파악하세요.
PowerShell 또는 Netwrix Auditor를 사용해 계정 잠김 원본(발생 위치)과 잠김 사유를 확인하세요
여러 번의 인증 실패 시 Active Directory 계정을 잠그는 것은 Microsoft Windows 환경에서 흔히 사용되는 정책입니다. 잠김(lockout)은 잊어버린 비밀번호, 캐시에 저장된 만료된 서비스 자격 증명, 도메인 컨트롤러 복제 오류, 잘못된 드라이브 매핑, Windows Server의 끊어진 터미널 세션, 그리고 모바일 장치가 Exchange Server에 액세스하는 경우 등 다양한 이유로 발생할 수 있습니다.
계정을 잠금 해제하기 전에 보안 위험을 완화하고 동일한 문제가 다시 발생하지 않도록 잠김이 발생한 이유를 먼저 파악해야 합니다. PowerShell은 사용할 수 있는 도구 중 하나입니다. 위에 제공된 스크립트는 Securitylog에서 ID 4740을 가진 모든 이벤트를 확인하여 단일 사용자 계정에 대해 잠김이 발생한 계정 잠김 원본(발생 위치)을 파악하는 데 도움이 됩니다. PowerShell 출력에는 추가 조사를 위한 관련 세부 정보가 포함됩니다. 즉, 계정 잠김이 발생한 컴퓨터와 잠김이 발생한 시점입니다.
Netwrix Auditor는 계정 잠금의 원인을 더 편리하게 찾을 수 있는 방법을 제공합니다. 이 플랫폼은 환경 내의 모든 사용자의 활동을 모니터링하며, 몇 번의 클릭만으로 생성할 수 있는 읽기 쉬운 보고서에서 하나 또는 전체 계정 잠금에 대한 자세한 정보를 제공합니다.
공유하기