Как понять, что и где блокирует УЗ в домене?

Question

[Дмитрий Шумов]

Доброе утро! Периодически что-то блокирует УЗ в домене, из-за этого срывается backup на серверах. Как понять, что и где блокирует УЗ в домене? Аудит показывает только такое событие, но из него ничего не понятно:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" /> 
  <EventID>4740</EventID> 
  <Version>0</Version> 
  <Level>0</Level> 
  <Task>13824</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x8020000000000000</Keywords> 
  <TimeCreated SystemTime="2018-10-07T02:09:45.330890800Z" /> 
  <EventRecordID>5750135</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="584" ThreadID="624" /> 
  <Channel>Security</Channel> 
  <Computer>wsdc-01.domen.local</Computer> 
  <Security /> 
  </System>
- <EventData>
  <Data Name="TargetUserName">backup</Data> 
  <Data Name="TargetDomainName" /> 
  <Data Name="TargetSid">S-1-5-21-3362886647-1212668267-832902950-11833</Data> 
  <Data Name="SubjectUserSid">S-1-5-18</Data> 
  <Data Name="SubjectUserName">WSDC-01$</Data> 
  <Data Name="SubjectDomainName">domen.local</Data> 
  <Data Name="SubjectLogonId">0x3e7</Data> 
  </EventData>
  </Event>

Comments

[Сергей]

как правило, из-за политики приходится менять пароль уз, где-то вы это не сделали, если серверов мало гляньте на них просмотр событий системы и ключевик аудит отказа учетной записи backup, блокирует уз контроллер домена, опять же согласно политике, пользователь стучится с неверным логином (у меня щадящая - 5 раз) и затем блок.

[Дмитрий Шумов]

Nikolay Petyukh, Приблизительно раз в неделю. Посмотрел на 2 месяца назад, системы не увидел. Когда то в день начала бэкапов, когда-то в середине недели. Системы не вижу.

[Дмитрий Шумов]

Сергей, Не, не вариант. Это не изменяемая УЗ.

[Сергей]

Дмитрий Шумов, причем тут изменение?)) скорее всего где-то старый пароль вбит

[Дмитрий Шумов]

Сергей, Я в том смысле, что пароль не менялся со дня создания. И под парольную политику эта УЗ не подпадает.

[Евгений Хлебников]

Этот EventID - сообщение о том что для данной учетки неверно вводится пароль и срабатывает политика блокировок, как вам уже сказали выше в комментах
В доках MS указано, что в ивенте есть поле Additional Information: Caller Computer Name указывающее на машины где произошел неверный ввод пароля.

[Дмитрий Шумов]

yellowmew, Данное поле пустое.....

[Евгений Хлебников]

Дмитрий Шумов, ссылочка на форумы MS как диагностировать такую проблему и в чем может быть причина почему оно пустое.
Однако же, и это лично мое мнение, данные методы погрузят вас глубже в знание того как работает аутентификация в AD(это хорошо), но совершенно необязательно помогут решить вашу проблему(и это не очень хорошо).
А потому я посоветовал бы вам завести другую учетную запись с такими же правами, например pukcab(да, я люблю пошутить), для целей бэкапа и все процессы, завязанные на старую запись с очевидным именем переключить на нее. Если проблема с новой учеткой повторится, то у вас как раз на виду будут все места где вы вбили новую учетку и нужно будет изучать логи того ПО которое ее использует на предмет ошибок входа в AD.

[Дмитрий Шумов]

yellowmew, Спасибо. Наверное так и поступлю

[Sasha Odarchuk]

1) Netwrix Account Lockout Examiner
2) логи