[AD] Account disabled, wie/waarom?

[OlivierF]

Goedemorgen Tweakers!
Toen ik vanochtend op mn werk kwam, kwam ik tot de ontdekking dat mijn account disabled was. Via een andere weg heb ik toen mn account maar weer ge-enabled.

Nu vraag ik me natuurlijk af, wie, of waarom was mijn account gedisabled? Ik kan in het event log niks terug vinden. Kan ik dat ergens terug vinden?
Kan een account gedisabled worden door te veel failed logins oid?

En nee, er ligt geen ontslag brief op mn bureau

[sh4d0wman]

Account lockout kun je in de AD wel terug vinden, maar als het goed is weet je deze instelling als beheerder

In de eventviewer, onder security, kun je security related zaken vinden. Dit wordt niet standaard gelogd dus moet wel aangezet zijn in je group policy. Achteraf achterhalen waarom een account gelocked is, kan volgens mij niet.

edit: oh disabled? niet goed gelezen.

[ Voor 5% gewijzigd door sh4d0wman op 28-08-2007 08:22 ]

[SeatRider]

OlivierF schreef op dinsdag 28 augustus 2007 @ 08:18:
Goedemorgen Tweakers!
Toen ik vanochtend op mn werk kwam, kwam ik tot de ontdekking dat mijn account disabled was. Via een andere weg heb ik toen mn account maar weer ge-enabled.

Nu vraag ik me natuurlijk af, wie, of waarom was mijn account gedisabled? Ik kan in het event log niks terug vinden. Kan ik dat ergens terug vinden?
Kan een account gedisabled worden door te veel failed logins oid?

En nee, er ligt geen ontslag brief op mn bureau

Schoonmaker die perongeluk op het inlogscherm een paar keer enter heeft gegeven, en daarmee dus het maximaal aantal foute wachtwoorden heeft overschreden?

[Gunner]

SeatRider schreef op dinsdag 28 augustus 2007 @ 08:21:
Schoonmaker die perongeluk op het inlogscherm een paar keer enter heeft gegeven, en daarmee dus het maximaal aantal foute wachtwoorden heeft overschreden?

Over het algemeen disabled dat je account niet, slechts een lock-out

[Verwijderd]

acc disabled is alleen als er meer dan 10 keer het verkeerde pass is ingetypt. bij herhaaldelijk proberen gebeurd dit om hax tegen te gaan

[OlivierF]

Gunner schreef op dinsdag 28 augustus 2007 @ 08:22:
[...]

Over het algemeen disabled dat je account niet, slechts een lock-out

Ja precies, dat leek mij dus ook... Betekend dat dat een admin mijn account disabled heeft? Lekker dan

@ sh4d0wman:
Die weet ik inderdaad wel te vinden, mn account is ook alweer enabled...

Edit:
Goed, ik weet nu wel aardig zeker dat iemand aan het kloten is geweest, kom er net achter dat ik niet meer in domain admins zat... Dat kan toch niet door te veel failed logins of wel??

[ Voor 20% gewijzigd door OlivierF op 28-08-2007 08:27 ]

[Verwijderd]

Edit:
Goed, ik weet nu wel aardig zeker dat iemand aan het kloten is geweest, kom er net achter dat ik niet meer in domain admins zat... Dat kan toch niet door te veel failed logins of wel??

Nope, iemand heeft je handmatig eruit gehaald, waarschijnlijk omdat er met jou account gekloot werd.
zou niet willen dat een hax toegang krijgt met een domain admins acc

[OlivierF]

De schuldige is gevonden... Een van de beheerders dacht dat ik hier al weg was... Volgende week ben ik hier inderdaad weg, maar deze week wilde ik graag toch nog wel ff inloggen

Overigens heb ik het ook terug kunnen vinden in MOM, verder is het nergens te zien, best irritant....

[Gunner]

Verwijderd schreef op dinsdag 28 augustus 2007 @ 08:24:
acc disabled is alleen als er meer dan 10 keer het verkeerde pass is ingetypt. bij herhaaldelijk proberen gebeurd dit om hax tegen te gaan

Haal je niet wat dingen door elkaar? En dan nog kan je het aantal keren niet zeggen, want elke AD kan dat anders ingesteld hebben.

[thenapster]

vraag aan de beheerder, die kan precies zien op welke tijd hij is geblockt. Mischien zijn alle accounts geblockt door werksaamheden.

[Verwijderd]

Fijn

[OlivierF]

thenapster schreef op dinsdag 28 augustus 2007 @ 08:50:
vraag aan de beheerder, die kan precies zien op welke tijd hij is geblockt. Mischien zijn alle accounts geblockt door werksaamheden.

Dude, volgens mij heb je niet het hele verhaal begrepen... Ik ben zelf een beheerder...

[Bart©]

[Equator]

OlivierF schreef op dinsdag 28 augustus 2007 @ 08:45:
De schuldige is gevonden... Een van de beheerders dacht dat ik hier al weg was... Volgende week ben ik hier inderdaad weg, maar deze week wilde ik graag toch nog wel ff inloggen

Overigens heb ik het ook terug kunnen vinden in MOM, verder is het nergens te zien, best irritant....

Meteen slaan

OlivierF schreef op dinsdag 28 augustus 2007 @ 08:52:
[...]


Dude, volgens mij heb je niet het hele verhaal begrepen... Ik ben zelf een beheerder...

Goed, even een aapassing: Dit zijn zaken die je wil loggen, dus die zal je aan moeten zetten. True, je logfiles worden er behoorlijk wat groter van, maar dat moet je dan maar voor lief nemen.

Je kan - mits je het niet erg vind om in de logfiles te duiken, of gebruik maakt van een tool - heel veel vinden in de security logs. En het wijzigen van account gegevens is best interessant om na te kunnen zoeken.
Hoe dan ook: Je zal best wel weten dat een account niet zomaar op disabled komt te staan. Een lockout oke, maar disabled is echt een admin actie.

[ Voor 29% gewijzigd door Equator op 28-08-2007 12:26 ]