Решаем проблему внезапной блокировки учетной записи::Журнал СА 11.2009
www.samag.ru
     
Поиск   
              
 www.samag.ru    Web  0 товаров , сумма 0 руб.
E-mail
Пароль  
 Запомнить меня
Регистрация | Забыли пароль?
О журнале
Журнал «БИТ»
Подписка
Где купить
Авторам
Рекламодателям
Магазин
Архив номеров
Вакансии
Контакты
   

ЭКСПЕРТНАЯ СЕССИЯ 2019


  Опросы

Какие курсы вы бы выбрали для себя?  

Очные
Онлайновые
Платные
Бесплатные
Я и так все знаю

 Читать далее...

1001 и 1 книга  
28.05.2019г.
Просмотров: 1420
Комментарии: 2
Анализ вредоносных программ

 Читать далее...

28.05.2019г.
Просмотров: 1542
Комментарии: 1
Микросервисы и контейнеры Docker

 Читать далее...

28.05.2019г.
Просмотров: 1169
Комментарии: 0
Django 2 в примерах

 Читать далее...

28.05.2019г.
Просмотров: 911
Комментарии: 0
Введение в анализ алгоритмов

 Читать далее...

27.03.2019г.
Просмотров: 1477
Комментарии: 1
Arduino Uno и Raspberry Pi 3: от схемотехники к интернету вещей

 Читать далее...

Друзья сайта  

Форум системных администраторов  

sysadmins.ru

 Решаем проблему внезапной блокировки учетной записи

Архив номеров / 2009 / Выпуск №11 (84) / Решаем проблему внезапной блокировки учетной записи

Рубрика: Администрирование /  Продукты и решения

 МИХАИЛ ДАНЬШИН, эксперт в области ИТ. Специализируется на Exchange и смежных технологиях. Ведет блог (http://danshin.ms), выступает на конференциях и в MCP-клубе.Награжден премией Microsoft MVP

Решаем проблему
внезапной блокировки учетной записи

Доводилось ли вам сталкиваться с тем, что пользователи не могут войти в компьютер? Что же делать, если учетная запись существует, она не отключена, да еще и пароль правильный?

Иногда возникают ситуации, когда при попытке входа в компьютер пользователь получает сообщение:

Unable to log you on because your account has been locked out, please contact
your administrator                                                           

Это уведомление говорит о том, что акаунт заблокирован (locked). Это не то же самое, что отключен (disabled). В первом случае учетная запись нейтрализуется на некоторое время, и это происходит автоматически, без участия администратора. А во втором отключается системным администратором вручную.

Оказалось, что данная тема актуальна до сих пор. И мне постоянно приходится отвечать на вопросы не только начинающих, но и опытных администраторов.

Сообщение о блокировке учетной записи выглядит, как показано на рис 1.

Сообщение об ошибке, которое получает пользователь с заблокированной учетной записью

Рисунок 1. Сообщение об ошибке, которое получает пользователь с заблокированной учетной записью

Природа этого явления заключается в том, что было предпринято несколько попыток ввода неверного пароля. В домене вы можете настроить групповую политику, которая будет регламентировать количество попыток ввода паролей и время, на которое акаунт будет заблокирован. В случае если правильный пароль не будет введен, акаунт будет заблокирован, а пользователь получит уведомление, как показано выше, на рис. 1.

Для того чтобы определить политику, запустите Group Policy Management Consoleю. По умолчанию политика выглядит так, как показано на рис. 2.

Политика Account Lockut Policy по умолчанию

Рисунок 2. Политика Account Lockut Policy по умолчанию

Предположим, что вы хотите ограничить количество неправильных вводов пароля пятью попытками, а потом блокировать акаунт на 30 минут. Для этого вам нужно отредактировать Default Domain Policy (помним, что политики паролей в доменах Win 2003 применяются к уровню домена). Выберите Computer Configuration -> Windows Settings -> Security Settings -> Account Policy -> Account Lockout Policy. Затем отредактируйте параметры групповой политики. Значение параметров:

  • Account lockout duration – определяет время, на которое акаунт будет заблокирован.
  • Account lockout threshold – определяет количество попыток ввода, после которого акаунт будет заблокирован.
  • Reset account lockout counter after – определяет время, по истечении которого будет сброшен счетчик попыток. Например, если вы определили, что после пяти попыток акаунт будет заблокирован, а сделали только две попытки входа, а потом, например, ушли пить чай, то по истечении этого установленного времени счетчик обнулится, и у вас опять будет пять попыток.

Попробуйте изменить любой из параметров, и система предложит вам оптимальные с ее точки зрения значения остальных параметров (см. рис. 3).

Значения, которые предлагает система

Рисунок 3. Значения, которые предлагает система

Вы можете согласиться, а потом при необходимости изменить их по своему усморению. Например, если вы установите значение параметра Account lockout threshold, соответствющее 5, а затем нажмете OK, то система предложит вам 30-минутное значение для остальных параметров, как показано на рис. 3.

После того как политика будет определена, вы можете известить ваших пользователей о том, что после того как они введут неверный пароль несколько раз, их учетная запись будет заблокирована (locked). Чтобы снять блокировку, нужно снять галочку Account is locked out в свойствах пользователя, как показано на рис. 4.

Account is locked out в свойствах пользователя

Рисунок 4. Account is locked out в свойствах пользователя

Иногда блокировка акаунта происходит без видимых причин. И несмотря на то что блокировка так просто снимается, в некоторых случаях это не решает проблему. Через некоторое время пользователь может обнаружить, что его учетная запись опять заблокирована.

Причин тому может быть несколько, и я опишу их далее. Иногда определить причины бывает довольно сложно. Основная сложность в определении компьютера, с которого происходят попытки ввода неверных паролей.

В журнале безопасности для отслеживания подобных событий существует запись с кодом 680 от источника Security категории Account Logon. В этой записи (см. рис. 5) показана информация о том, в какое время и с какого компьютера была предпринята попытка ввода неверного пароля. Конечно, есть способ реагировать на событие немедленно. Я писал о нем в статье «Как отреагировать на событие?» [1].

Вид сообщения из «Журнала Событий»

Рисунок 5. Вид сообщения из «Журнала Событий»

Если вы отслеживаете появления подобных записей и своевременно реагируете на них, то определить источник проблемы будет просто. Но, как правило, таких записей может быть огромное множество. И никто не реагирует на них немедленно, а расследует инцеденты потом.

Пользователи часто ошибаются с вводом пароля. И не существует простого способа определить точное время того, когда акаунт был заблокирован. Как правило, мы узнаем об этом через некоторое время от самого пользователя.

В решении проблемы нам может помочь утилита Microsoft Account Lockout Status, которая входит в пакет утилит Account Lockout and Management Tools. Получить этот пакет можно на сайте Microsoft3. Утилита была выпущена еще в 2003 году. Удивительно, что спустя много лет она все еще востребована.

Принцип работы утилиты заключается в том, что она анализирует журналы событий на всех контроллерах домена в сети и определяет, на каком контроллере произошла блокировка, в какое время, а также предоставляет дополнительную информацию, которая может помочь нам в расследовании.

Также утилита может помочь снять блокировку с учетной записи и многое другое.

Чтобы приступить к работе с утилитой, вам нужно запустиь файл LockoutStatus.exe. Когда программа запустится, выберите меню File, а затем Select Target. В появившемся диалоговом окне (см. рис. 6) в поле Target User Name введите имя пользователя, у которого возникает проблема с учетной записью, а в поле Target Domain Name введите имя домена, в котором находится учетная запись пользователя.

Окно ввода данных о пользователе, учетная запись которого блокируется

Рисунок 6. Окно ввода данных о пользователе, учетная запись которого блокируется

Обратите внимание на галочку – Use Alternate Credentials. В случае если программа запущена с правами обычного пользователя, то, установив эту галочку, вы можете запустить проверку от имени другого пользователя, входящего в группу «Администраторы домена». Если же вы запустили программу от имени пользователя с правами доменного администратора, то устанавливать галку не нужно.

После непродолжительного процесса сбора информации вы увидите результаты работы, в которых будет отражено, на каком контроллере домена была заблокирована запись, в какое время, сколько попыток ввода неверного пароля было предпринято и т.д. Все это показано на рис. 7.

Результат работы программы

Рисунок 7. Результат работы программы

Из меню этой же программы вы можете снять блокировку с учетной записи. Для этого выберите контроллер домена, нажмите правую кнопку мыши и в контекстном меню выбирите Unlock Account (см. рис. 8).

Снимаем блокировку с учетной записи

Рисунок 8. Снимаем блокировку с учетной записи

Это изменение моментально будет реплицировано на все контроллеры домена, и пользователь может тут же повторить попытку входа. Если пользователь забыл пароль, то, выбрав Reset User’s Password, вы можете его сменить.

Иногда возникают ситуации, когда после удачного входа в систему проблема возвращается. Пользователь не может получить доступ к сетевому ресурсу, не может повторно войти в систему и т.д. Причин такого поведения может быть несколько. Я приведу лишь несколько самых популярных из них. Но помните, что универсального решения нет и каждый случай нужно расследовать индивидуально.

Например, в сети может действовать злоумышленник, который пытается подобрать пароль от учетной записи пользователя.

Второй распространённый вариант – это использование одной учетной записи несколькими пользователями одновременно. В этом случае кто-то может постоянно вводить неверный пароль и тем самым мешать работе остальных пользователей.

Начиная расследование, первое, что мы должны установить, – это точное время происшествия. Установив время, мы легко сможем найти запись в журнале безопасности и понять, с какого компьютера в сети производились попытки ввода неверного пароля.

Как видно на рис. 7, программа сообщает нам эти сведения. Надо щелкнуть правой кнопки мыши по контроллеру домена и выбрать в контекстном меню Open Event Viewer (открыть журнал событий). Так как мы теперь знаем точное время, когда была попытка входа, которая привела к блокировке учетной записи, мы без труда сможем найти событие и определить, с какого компьютера было произведено действие, повлекшее блокировку. Проблема решена – виновные наказаны!

Но кроме человеческого фактора, есть еще и другие причины. Пожалуй, самая распространенная причина – это когда вы настраиваете «Назначенное Задание», которое выполняется от имени пользователя, затем меняете пароль этого пользователя, а ваше задание все еще пытается выполнить вход со старым паролем. Естественно, у него это не получается, и акаунт блокируется.

Надеюсь, что после прочтения этой статьи у вас появилась ясность, чем может быть вызвана обозначенная в начале статьи проблема и как ее решить.

  1. http://www.danshin.ms/2008/06/blog-post.html.
  2. http://www.microsoft.com/downloads/details.aspx?displaylang=en&familyid=7af2e69c-91f3-4e63-8629-b999adde0b9e.

Комментарии отсутствуют

Добавить комментарий

Комментарии могут оставлять только зарегистрированные пользователи

               Copyright © Системный администратор

Яндекс.Метрика
Tel.: (499) 277-12-41
Fax: (499) 277-12-45
E-mail: sa@samag.ru