排查域账户频繁锁定

最近2周一直被一个问题困扰，有用户频繁被锁定。但是无法找到用户从哪里发送的验证信息。

原因是为了加强安全监控，启用了用户账户锁定的通知。这个锁定通知是通过事件日志结合计划任务发送的，具体如何操作可以参考之前的文章《监控账户登录》或者《Windows 2012 R2 计划任务发送邮件》。

账户被锁定的唯一原因就是频繁的提供错误凭据做身份验证。当错误次数超过组策略里配置的限制次数后就会被锁定一段时间。锁定时间同样也是在组策略里配置的。这种锁定策略可以有效的保护账户安全，避免暴力破解。

现在账户被频繁锁定，我们必须找到源头，然后判断是否存在攻击。一旦用户账户被盗取，之后会引发一系列的垃圾邮件，病毒传播等问题。账户锁定的事件ID是4740，在PDC上会记录。

 这里通常会记录客户端的计算机名，Source Workstation。但是这里记录的却是WORKSTATION。一般不会有计算机会改成这个名字的。后来经过2天的查找，也没有找到这个名为 WORKSTATION的计算机。

进一步检查安全日志，会发现有4776的登录失败的日志。但是记录的也只是WORKSTATION。4776，MICROSOFT_AUTHENTICATION_PACKAGE_V1_0 只能说明这是一个NTLM的验证行为。并不是Kerberos验证，否则会有4771的日志，并且能显示客户端IP。0xC000006A表示用户名正确，但是密码错误。