在2003域控制器上查找未经授权的域登录记录

Question

我的经理想知道谁从他的 PC 或其他 PC 以他的身份登录并发送了电子邮件。DC 是 Windows 2003 服务器，工作站是 Windows 7。有没有什么实用程序可以做到这一点？我尝试过 DC 上的 Windows 安全事件日志。

Answer 1

可能不会。

如果现在安全事件日志中没有该事件，则说明您没有记录该事件，或者该日志已被覆盖。无论哪种情况，您成功的机会都不大。

如果您有良好的备份，您也许可以恢复安全日志的旧副本并对其进行搜索，但基于……好吧，我的直觉告诉我，您可能没有十年前的服务器的备份，而您不知道该服务器的日志记录级别。当然，如果您没有设置所需的日志记录级别，那么数据从一开始就不存在。