实时监控Active Directory用户登录操作

用户登录到其域计算机是任何企业中发生的日常活动。一开始，这可能看起来是一个简单的Active Directory事件，但分配了不同角色的管理员可以将这些有价值的数据用于各种审计，合规性和运营需求。组织需要审核“AD 用户登录日志”的详细信息，以满足以下一个或多个操作需求。

• 在给定的审核间隔内/每月验证员工的缺勤/出勤情况。
• 确定在给定时刻有权访问 Active Directory 网络的用户总数。
• 发现通过远程网络计算机访问工作站或域控制器的用户。
• 确定域中所有用户的高峰登录时间。
• 查看谁上次登录到关键域计算机。
• 确定是否有任何用户（不法分子）正在尝试登录他/她没有权限的计算机。（例如：Active Directory 中的域控制器登录/成员服务器登录将需要提升的权限）。
• 查看域中任何用户的完整登录历史记录。

除了列出的几个之外，Active Directory 网络中还有更多实际需求需要有关域帐户登录的审核信息。ADAudit Plus帐户登录报告可以有利地用于克服帐户登录审核挑战。它提供了大量实时预配置的报告，以所需的格式提供登录审核问题的答案，并增强了 Active Directory 审核体验。自定义报告功能使软件更加受追捧，例如，可以定义任何登录操作并将其视为报告。

为什么本机活动目录被认为不足以进行用户登录审核

每个“AD登录日志”都会持续记录在Active Directory域控制器（DC）的安全日志中。此数据记录在本机活动目录域控制器中

• 需要专业知识才能理解因为它涉及了解特定事件编号及其与登录操作的相关性。
• 体积巨大 - 任何 Active Directory 对象上的每个登录活动都会持续记录在域控制器中，并且此事件日志数据堆积到大量数据。
• 具有受限的访问权限 - 域控制器是 Active Directory 基础结构的关键组件，访问权限仅限于选定的管理用户。

本机 Active Directory 的其他限制包括非管理员用户（如审核员、经理和人力资源人员）无法跟踪任何所需的登录操作。某些关键登录事件（如登录到域控制器或成员服务器）需要立即发出警报或持续监视。这些关键信息虽然已登录，但与普通事件日志没有区别或分组，并且更有可能被忽略。

实时活动目录登录审核解决方案

跟踪帐户登录活动，一次一个系统用于整个Active Directory网络几乎是不可能的。ADAudit Plus 的实时用户登录审核报告在单个报告中列出所有用户登录操作。这可以从中央 Web 控制台查看。登录信息对于理解/识别域中用户对象登录的真实性非常重要。

ADAudit Plus 提供有关登录失败、域控制器登录活动、成员服务器登录活动、工作站登录活动、用户登录活动、最近用户登录活动和上次工作站登录的用户登录报告。此外，登录审核解决方案充当不可或缺的工具，便于审核特定登录事件、当前和过去的登录活动，并列出所有与登录相关的更改。它通过易于理解的Web界面完成此操作，并通过图表，图形以及预制和自定义报告的列表视图显示统计信息。

用户登录时的审核报告

• 登录失败报告
• 域控制器上的登录活动
• 成员服务器上的登录活动
• 工作站上的登录活动
• 用户登录活动
• 最近的用户登录活动
• 上次登录工作站
• 计算机上的 RADIUS 登录

登录失败报告

登录失败报告提供有关选定时间段内登录失败和登录失败原因的信息。报告用户帐户在选定时间段内的多次登录失败尝试。这为管理员提供了有关对“入侵者攻击易感”帐户可能的攻击的信息。报告有关发生登录失败时登录失败、登录失败帐户和可能的失败原因的信息。

登录失败原因可能很严重，例如用户名错误，密码错误，容易受到攻击。需要管理员注意的原因是“密码已过期”、“帐户已禁用/已过期/已锁定”或“管理员应重置帐户的密码”。还会报告其他原因，例如“工作站/登录时间限制”、“新计算机帐户尚未复制”或“计算机在 w2k 之前”和“工作站中的时间与域控制器中的时间不同步”。

针对失败原因的登录失败次数的图形表示有助于管理员快速做出决策并有效管理。

域控制器上的登录活动

域控制器是 Active Directory 中影响 AD 更改的核心关键组件。域控制器登录仅限于特权用户或管理员用户，有关其他用户进行的登录尝试的完整信息使管理员能够采取明智的纠正措施。ADAudit Plus 有助于提供有关已登录任何选定域控制器的所有用户的信息。登录时间、用户登录位置（计算机名称）、登录尝试的成功或失败以及失败原因（如果有）等详细信息。

成员服务器和工作站上的登录活动

成员服务器和工作站上的登录活动分别提供有关用户登录到选定成员服务器或工作站的信息。这两个报告的功能类似于“域控制器上的登录活动报告”，使软件的处理和理解变得轻而易举。

用户登录活动

用户登录报告提供有关所选域用户访问的“服务器”或“工作站”上的完整登录历史记录的审核信息。用户对象登录历史记录对于了解所选用户的登录模式以及在其它情况下向任何用户的审核员/经理提供记录的证明非常重要。

最近的用户登录活动

系统管理员对用户使用网络的违规行为表示怀疑/担忧。失败的登录尝试是发现异常的指示器或度量。ADAudit Plus 的“最近用户登录活动”报告列出了用户在任何选定时间段内成功和失败的所有登录活动。此外，登录失败的原因也作为采取纠正措施的备注提供。可以从此报告中查看在给定日期、任何选定日期或选定时间段内成功登录网络的用户列表。

上次登录工作站

此报告列出有关成功登录一天的所有用户上次登录到工作站或计算机的时间的信息。此报表可用于确定组织中用户的缺勤或当前可用性状态。

监视计算机上的 RADIUS 登录

审核远程计算机上登录的用户对远程身份验证拨入用户服务 （RADIUS） 网络访问。通过有关远程登录用户（如 RADIUS 登录失败 （NPS） 和 RADIUS 登录历史记录 （NPS））的报告，监视 Active Directory 中的所有 RADIUS 身份验证。请注意，目前仅支持通过网络策略服务器 （Windows Server 2008） 进行的 RADIUS 登录活动。

ADAudit Plus通过对所有变更事件的可视化分析，确保企业活动目录的安全性和合规性。