народ. подскажите плиз, в домене есть политика на блокировку учётных записей при неправильном вводе пароля больше 3х раз.  (id лога 4740)
в обычном состоянии оно пишет с какой машины была блокировка.
но начали появляться таткие события с пользователями. user,test,postmaster,max и т.д.
Так вот в этих событиях имя машины не пишется откуда произошла блокировка. Как ещё можно поймать вредителей?

Exchange external?

Это для первого мира, где государственный и загран - это одно и тоже

И учтите, что при включенной политике блокировки УЗ - вы подвержены прекрасной атаке, когда сливают адресную книжку или список всех учеток в AD
и через внешнюю публикацию просто блочат весь домен, так как обычно и у администраторов есть например почта)

Ну есть builtin\Administrator, которого невозможно заблочить

Если мы про lockout говорим

но я тогда вижу в этом событие имя сервера, если идёт блокировка с почтовика

типа имя вызывающего компьютера: mail

А у неё есть название ?

там нет никакой связи с политикой блокировки уз. там смысл во времени ответа сервера с правильным логином и неверным. при верном(сущесуествующем) логине ответ сервера чуть быстрее чем несуществующем.
и опять же нужен список записей для такого брута. короче в лоб замучаешся так перебирать адресную книгу, если не знаешь как формируются логины. а если знаешь, то это уже вероятно нацеленая атака, а там уже сложнее.
как-то так

это вот с этой вот степи https://blog.nvisium.com/time-based-username-enumeration

На время дебага можно включить журнал отладки https://docs.microsoft.com/ru-ru/troubleshoot/windows-client/windows-security/enable-debug-logging-netlogon-service

Вы точно хотите со мной это обсудить?))))

да расскажи пожалуйста как политика блокировки помогает сливать адресную книгу, интересно.

Речь про следующий этап, когда адресная книга слита.
А для её слива нахрен не надо делать enumeration, достаточно подобрать креды одного юзера.

я уж было подумал, что ты сказал, что политика блокировки помогает сливать адресную книгу. как-то неоднозначно написал.

@angrypuffin и как быть? не использовать политику блокировок учетных записей?

+

Ессно
Либо использовать, но все же мониторить этот процесс

ок, брутят через OWA(условно говоря) учётку сотрудника. что дальше делать?
2fa например нету.