Как найти что блокирует пользователя анализируя логи Exchange?

Question

[Сергей]

Пользователь сменил пароль. Теперь его учетка блокируется.
Пробовал анализировать логи, в том числе скриптами на PS. Но учитывая что логов очень много задача становится невыполнимой. Задавал вопросы нейросетям - результат куча потерянного времени.
Цель: Выяснить какой клиент блокируется, мобильный или обычный outlook, итп. Короче собрать максимум информации чтоб найти источник блокировки
Может кто-то уже проходил подобное и есть готовое решение? Или может есть какое-либо ПО для анализа логов Exchange+IIS?

Answer 1

[Сергей]

Нашел сам: ManageEngine Exchange Reporter Plus
https://www.manageengine.com/products/exchange-reports/
то что нужно, даже больше

Answer 2

[Пума Тайланд]

netwrix account lockout examiner, самый быстрый вариант: копает автоматом, без ручного парсинга логов. Руками — событие 4740 на pdc emulator, поле Caller Computer Name сразу укажет источник блокировки. Тип клиента (мобила или десктопный outlook) видно в iis-логах по User-Agent на 401-х: activesync это мобила, mapi/outlook anywhere это десктоп.

Comments

[Сергей]

netwrix account lockout examiner - увы не подходит.
Он смотрит журналы на серверах, а нужен анализатор логов Exchange и (или) IIS. В логах AD нет нужной информации.
Пробовал сам скрипты писать для парсинга логов, но больше времени потратил. Думал может есть готовое решение

[Пума Тайланд]

Сергей, тогда глянь Log Parser Studio (бесплатная GUI над MS LogParser) — гоняешь SQL-запрос по W3C-логам IIS/HttpProxy, фильтр по cs-User-Agent и sc-status=401, и сразу видно кто долбит: activesync или mapi. Ручной парсинг тут точно избыточен.

Answer 3

[Роман Безруков]

Exchange и Outlook тут могут быть совсем ни при делах...Учетка блокируется в AD - надо копать логи на контроллерах домена.
Пользователь подключил сетевой диск/принтер, настроил некую службу на запуск от своего имени - старый пароль в этих точках будет блокировать учетку

Comments

[Сергей]

В моем случае это exchange. Я умею вычислять источник блокировки.
Осталось найти кто вызвал эту блокировку.. телефон? ПК? Или что-то другое

[Роман Безруков]

Сергей,
1. в событиях 4740 на PDC Emulator что указано как источник (Caller Computer Name)? (скрин ошибки покажите)
2. у проблемного пользователя есть комп - удалите на нем кэшированные креды из Credential Manager и выполните повторный вход

[Сергей]

Роман Безруков, В событиях указаны серверы Exchange. Я писал об этом.
Мне нужен анализ логов Exchange. Что бы понять кто источник неправильного пароля. ПК, или телефон итп....

[Роман Безруков]

Сергей, логи либо тут - c:\Program Files\Microsoft\Exchange Server\V15\Logging, либо там, куда вы переключали логирование (через симлинки). Тут смотрите папки Ews, MapiHttp, RPC Client Access.
Также смотрите логи IIS - c:\inetpub\logs\LogFiles или там, куда вы их перенесли.
Для ActiveSync есть отдельный командлет Export-ActiveSyncLog, который дергает записи из логов IIS:

Export-ActiveSyncLog -Filename "C:\inetpub\logs\LogFiles\W3SVC1\ex[Date].log" -OutputPath "C:\Reports\ActiveSync"

Файлы логов - это CSV, т.е. их можно загрузить в Excel и анализировать...Можно с теми же целями использовать Microsoft LogParser.
ну и про Remote Connectivity Analyzer не забывайте - он тоже дает подсказки