Как узнать ip адрес клиента при авторизации в домене?

Question

[DimiDr0lik]

Коллеги, добрый день
Имеется большое количество сервисов которые имеют доменную авторизацию
в логах видно брутфорс в АД, но не понятно к какому рессурсу
Failed Logon,"Logon","N/A","dc-104.local","ADMINISTRADOR","29.07.2018 3:28:48","N/A","Cause: User logon with misspelled or bad user account."
Failed Logon,"Logon","N/A","dc-102.local","ADMINSVR","29.07.2018 3:28:49","N/A","Cause: User logon with misspelled or bad user account."

Как узнать ИП адрес этого хакера?)

Answer 1

[Антон Уланов]

Поставьте пограничный сервер для авторизации и ловите подлеца на нем. Как пример можно использовать ForeFront TMG. либо сравните время авторизации с логами с firewall

Answer 2

[xmoonlight]

Wireshark с фильтром - наше всё...