[2008 TS] Programma om extern inloggen te controleren*

[YorgoB]

Omdat ik met google niet vond wat ik zocht;

Ik ben op zoek naar een programma om extern in loggen te kunnen controleren.

De volgende configuratie:
Gebruikers loggen in via Terminal Server Gateway op een 2008 server.
Op de server wordt netjes in de Security logfiles bijgehouden welke gebruikers vanuit welk ipadres inloggen.
Er komen echter ook veel systeem aanvragen, welke ook gelogd worden.
Kan via de policy alleen filteren op juiste/nietjuiste inlogpogingen.

Nu zou ik graag in een programma willen bijhouden de combinatie inlognaam - extern ipadres.
Weet iemand wat voor programma ik hiervoor kan gebruiken?

Alvast bedankt voor de reacties.

[elevator]

Vertel eens wat je zoal geprobeerd hebt om hier uit te komen, ik kan me bijvoorbeeld vrij recentelijk nog een topic herinneren dat hierover ging, stond daar niet in wat je zocht?

[YorgoB]

Ik heb gezocht op de combinatie extern ip en inlognaam, zowel in google als tweakers, maar kwam hier niet verder mee.

[mbaltus]

Misschien als startpunt: http://www.kixtart.org/fo...r=123640&site_id=1#import

[alt-92]

YorgoB schreef op woensdag 24 februari 2010 @ 09:47:

Kan via de policy alleen filteren op juiste/nietjuiste inlogpogingen.

Nu zou ik graag in een programma willen bijhouden de combinatie inlognaam - extern ipadres.
Weet iemand wat voor programma ik hiervoor kan gebruiken?

Wat je wil filteren is op de inhoud van je eventID's die er al zijn blijkbaar?
Daarvoor kun je bijvoorbeeld Powershell gebruiken of logparser. Let er wel op dat je goed moet weten welke velden binnen de eventIDs je moet hebben - en dat is dus NIET de username die je direct in eventviewer ziet staan

[YorgoB]

alt-92 schreef op woensdag 24 februari 2010 @ 13:47:
[...]


Wat je wil filteren is op de inhoud van je eventID's die er al zijn blijkbaar?
Daarvoor kun je bijvoorbeeld Powershell gebruiken of logparser. Let er wel op dat je goed moet weten welke velden binnen de eventIDs je moet hebben - en dat is dus NIET de username die je direct in eventviewer ziet staan

Ik weet dat je dit kunt opzoeken door te filteren in de events. Echter is het probleem dat er zoveel wordt gelogd dat je maar van enkele dagen terug kunt zoeken. Hierna heb ik gezocht hoe ik er minder in kon krijgen, maar ik kan via een policy alleen aangeven dat er goede logons/ niet goede logons kan filteren. Dit is dus niet genoeg.

Vandaar dat ik op zoek was naar een programma welke dit bijhoudt.

[alt-92]

Dan kun je je audit logs groter instellen (kan er meer in van meer dagen - duh), of je zorgt met bijvoorbeeld logparser ervoor dat de gegevens naar een database worden gelogd zodat je daar later op je gemak queries op kan loslaten.

[google=logparser eventlog SQL]

[YorgoB]

alt-92 schreef op woensdag 24 februari 2010 @ 20:54:
Dan kun je je audit logs groter instellen (kan er meer in van meer dagen - duh), of je zorgt met bijvoorbeeld logparser ervoor dat de gegevens naar een database worden gelogd zodat je daar later op je gemak queries op kan loslaten.

[google=logparser eventlog SQL]

Bedankt voor je reactie.
Natuurlijk hadden we deze al groter gezet, maar dan nog, te weinig dagen.
Logparser kende ik niet. Ik ga hier eens naar kijken.

Indien iemand anders nog een andere optie heeft, hoor ik dit ook graag.