![AD 管理员帐户登录之谜 - 上次登录时间戳](https://linux22.com/image/701136/AD%20%E7%AE%A1%E7%90%86%E5%91%98%E5%B8%90%E6%88%B7%E7%99%BB%E5%BD%95%E4%B9%8B%E8%B0%9C%20-%20%E4%B8%8A%E6%AC%A1%E7%99%BB%E5%BD%95%E6%97%B6%E9%97%B4%E6%88%B3.png)
我们找到了域管理员帐户不是除非发生灾难恢复情况,否则不要使用 - LastLogonTimeStamp 属性中有最近的日期。据我所知,在相关时间段内(以及之后的几个月),应该没有人使用过这个帐户,但也许有些白痴已将其配置为运行计划任务。
由于安全日志事件的数量(以及缺乏用于分析的 SIEM 工具),我想确定哪个 DC 具有实际的上次登录时间(即不是我尝试为该帐户添加一个新属性(即“复制属性”),但我已经查询了域中的每个 DC,它们每个的管理员 lastLogon 都是“none”。
这是林中的一个子域,因此可能有人使用此子域管理员帐户在父域中运行某些操作。
除了检查 LastLogonTimestamp 中记录的时间前后来自 16 个林 DC 的潜在 2000 万个事件之外,还有谁能想到一种方法来确定哪个 DC 正在进行登录?我想我可以先定位父域 DC(因为子 DC 似乎没有进行身份验证)。
解释
repadmin
[根据下文使用后原因进行归纳后添加]
提出此请求的最初原因是我们的 IT 安全团队,他们想知道为什么我们频繁使用默认域管理员帐户登录。
我们知道我们没有登录。事实证明,有一种称为“Kerberos S4u2Self”的机制,当以本地系统身份运行的调用进程进行某些特权升级时。它做了一个网络以管理员身份登录(非交互式)域控制器。由于它是非交互式的,这就是为什么lastLogon
任何 DC 上都没有该帐户(该帐户从未登录过任何当前域控制器)。
本文解释了为什么这个东西会 ping 你的日志并让你的安全团队心烦意乱(源机器是 Server 2003,更糟的是)。以及如何追踪它。https://blogs.technet.microsoft.com/askpfeplat/2014/04/13/how-lastlogontimestamp-is-updated-with-kerberos-s4u2self/
经验教训 - 仅lastLogon
在涉及管理员登录时向 IT 安全团队提供有关属性的报告。
答案1
repadmin /showobjmeta DCNAME "ObjectDN"
将显示原始 DSA。
例子:
repadmin /showobjmeta CONTOSOMDDC1 "CN=Administrator,CN=Users,DC=contoso,DC=com"
54 entries.
Loc.USN Originating DSA Org.USN Org.Time/Date Ver Attribute
======= =============== ========= ============= === =========
4178442 CONTOSO-MDSite\CONTOSOMDDC1 4178442 2017-03-15 11:37:30 55 lastLogonTimestamp