Я изучаю, как отслеживать, когда компьютер был переименован и кем.
Я знаю, что вы можете получить журнал событий с одного компьютера, но мне нужен отчет, созданный на более чем 1000 ПК за двухнедельный период:
Или если он был снят с домена и кем и когда.
Можно ли это сделать на стороне сервера, и если да, то как?
Есть несколько способов выполнить этот аудит - во-первых, более трудоемкий способ получить актуальную информацию за две недели:
csved -f ADfilename.csv -r objectClass=user и импортируйте экспортированный CSV-файл в файл Excel с данными фильтрации по столбцам (Примечание: при импорте установите разделитель на запятые и табуляции, чтобы получить соответствующие заголовки перед фильтрацией).Пример данных о событии - с фильтрацией по дате / времени и т. Д.
НОТА: Эта часть может занять некоторое время, поскольку вам нужно найти и отфильтровать все соответствующие события при сравнении и повторном слиянии, чтобы найти все изменения в изменениях имени NetBIOS.
После этого вы можете использовать следующие программы / примеры сценариев для долгосрочного мониторинга событий вашего сервера AD и / или корпоративных компьютеров:
Есть две интересные вещи в создании постоянных потребителей событий с помощью скрипта. Во-первых, это легко сделать удаленно. Таким образом, я могу настроить сценарий на несколько машин и создать на удаленных машинах потребителя событий. Вторая крутая вещь - это то, что постоянные потребители событий крутые. Они отслеживают события и реагируют на них без необходимости запуска сценария. Поговорим о чем-нибудь крутом! Я запускаю один скрипт один раз, и тогда мой компьютер всегда будет искать событие и реагировать на него.
Более подробную информацию о классах WMI NetBIOS можно найти Вот.
Вы хотите подписка, инициированная источником. Это включает в себя объект групповой политики для указания целевых компьютеров на сборщик и настройку служб сборщика событий на сборщике. Как только вы начнете получать события, вы можете фильтровать их по нужным вам событиям.
Я бы использовал свой сценарий для этой задачи.
https://gallery.technet.microsoft.com/scriptcenter/Get-HtmlCSS3-reports-from-64cb3723
По сути, он будет искать всю информацию за последние X дней и помещать ее в представление HTML5 / CSS3.
Вы можете запускать его как задачу ежедневно, например
Вы можете получить часть когда, посмотрев на C:\Windows\Debug\netsetup.log Этот журнал показывает присоединение к домену, отключение и переименование.
Событие 6011 не сообщает кто часть. Это событие записывается только при перезагрузке после переименования. И если вы не сохраняете события из целевых объектов в долгосрочном архиве с помощью чего-то вроде Splunk, эти события могут больше не отображаться в отдельных журналах целевых событий. Если вы собираете события, выполните тестовое переименование и посмотрите, не записано ли другое событие после переименования с вашим идентификатором пользователя перед перезагрузкой.
