Gevraagd Reporter tool enterprise omgeving

[pandit]

Hallo allemaal

Wij beheren een omgeving met ca. 1200 Windows servers (Vanaf W2K tot W2K8) in ca. 10 domeinen , door vele reorganisaties en veranderd inzicht is de omgeving nogal vervuilt. Zo zijn van veel service accounts de wachtwoorden nooit veranderd omdat de impact van een wijziging niet te overzien is. In het kader van strenge IB eisen wil ik inzicht krijgen waar welke accounts gebruikt worden en zoek daarom tooling die alle 1200 servers af gaat zoeken waar bepaalde accounts gebruikt worden, zoals voor services \ scheduled tasks , NTFS rechten , share rechten en deze in een database opslaat. In eerste instantie dacht ik aan zelfbouw met powershell, maar deins wel terug van de hoeveelheid werk die dit meebrengt. De tool "Enterprise Security Reporter" van Quest zou hier goed geschikt voor moeten zijn, maar het prijskaartje van een kwart miljoen euro is teveel van het goede. Ik heb op dit moment de behoefte aan een momentopname van de omgeving.

Heeft iemand een suggestie van tooling die aan mijn eisen voldoet?

[Noxious]

Interresant

Ik heb ervaring met een soortgelijke situatie, zei het op veel kleinere schaal.

Ik heb niet direct een antwoord voor je, maar blijf deze zeker even volgen

[Oid]

bij het vorige bedrijf hadden we dit probleem ook, ze hebben inderdaad zoals je aangeeft quest gebruikt. daarna zijn ze Secret Server gaan gebruiken om dit op te lossen.

Misschien heb je er wat aan.

[Semt-x]

Deze situatie kom ik vanuit mijn werk regelmatig tegen bij de voorbereidingen van een migratie, al zijn 1200 servers wel wat meer dan gemiddeld.
Ik heb een set scripts gemaakt die me helpt bij het inzichtelijk maken van gebruik van objecten in AD (tis wat uitgebreider dan enkel service accounts).
Nu kan ik natuurlijk niet inschatten hoe groot het probleem bij jullie is, maar gemiddelde cijfers van andere omgevingen is ongeveer 75% snel te identificeren met die scripts, de overige 25% blijft handwerk.

Een grove inschatting is een paar maanden werk, als je de tijd hebt is het een perfect leer moment. Als er wat druk op de ketel staat, kun je rondkijken of een bedrijf je kan helpen. ipv blind die 250k uitgeven het kan voor een vijfde.

h2h,
Sem

[Dronium]

Misschien is True Last Logon iets voor je, wij gebruiken het ivm SoX rapportages. Geeft in ieder geval een keurig overzicht (per domein) van wanneer een account voor het laatst heeft ingelogd. Ik dacht niet dat je kunt zien waar en ingelogd is, maar het is wel een goede tool om alle overbodige accounts op te sporen en op te ruimen.
Voor een omgeving met 1200 servers/10 domeinen is de prijs ook wel schappelijk te noemen.

[ Voor 16% gewijzigd door Dronium op 21-12-2011 20:19 ]

[Semt-x]

@Dronium dat is makkelijk met een script te doen. Al krijg je geen fancy gui :]

Dit werkt met het "lastLogon" veld van een gebruiker in AD. Vervelende eigenschap van dit veld is dat het niet repliceert naar andere domeincontrollers en dus, om de echte laatste login datum van een account te zien, moet je op alle DC's kijken.

Hoe ik het oplos;
Query AD om alle DC namen op te halen. Query elke DC voor "sAMAccountName" en "lastLogon" van elke gebruiker en zet dit in een array voor elke DC. Vergelijk de arrays om per user de meest recente datum te vinden. output naar .csv.

h2h,
Sem

[alt-92]

Ugh... je weet dat je sinds 2003 ook een LastlogonTimestamp waarde hebt?

[ Voor 46% gewijzigd door alt-92 op 22-12-2011 08:01 ]

[Semt-x]

@alt-92 ja, dat veld synchroniseert welliswaar over DC's, maar doet dat slechts eens in de zoveel weken.
De beschreven routine heb ik geschreven toen ik het "real time" wilde zien, net als de tool die Dronium aandroeg.

[DukeBox]

Dit kan je toch gewoon middels de audits doen via een gpo ?

[alt-92]

Precies, als je realtime logon monitoring wil hebben kun je beter je security logs aggregeren (want niet alle logon types laten LL netjes zien) in plaats van een legacy LastLogon stamp uitlezen op al je DC's