[Çözüldü] Active Directory Kilitlenen Hesap Tespiti

Merhaba,

Active Directory ortamınızda policylerinize bağlı olarak yanlış şifre girişimleri sonrasında hesaplar kilitlenmektedir. Benzer bir durumu client bilgisayarlar üzerinde network sürücülerine bağlanırken girdiğimiz kullanıcı adı ve şifrelerde kilitlemektedir. Eğer ortamınızda kullandığınız üçüncü parti bir yazılım yoksa bu kilitlenmenin hangi clientden kaynaklandığını bulmanız zaman almaktadır. Bu durumu aşmak için Microsoft’un sunmuş olduğu ücretsiz ve oldukça kullanışlı bir tool mevcut.
Bu tool’a aşağıdaki link üzerinden ulaşabilirsiniz;

https://www.microsoft.com/en-gb/download/details.aspx?id=15201

Tool’u bilgisayarınıza kurduktan sonra File sekmesi altında Select Target seçeneğini seçiyoruz.

Açılan ekranda aşağıdaki kısımları doldurmamız gerekmektedir.
Target Userame: Kilitlenen hesap için kullanıcı adı
Target Domain Name: Kilitlenen hesabın aranacağı domain.
Not: Kilitlenen kullanıcı üzerinde programı çalıştırıyorsak hesap kilitli olduğundan Domain Controller üzerinde Event ID’lere erişemeyeceğinden “Use Alternative Credentials” seçeneği ile aktif domain user bilgileri girmemiz gerekmektedir.

Yapılan tarama sonucunda hangi Domain Controller üzerinde şifrenin kaç kez yanlış girildiği görülmektedir. Bad Pwd Count kısmında yanlış parola girişimlerini görebilir, User State kısmından kullanıcı durumlarını görebilirsiniz.

İlgili Domain Controller üzerinde Event Viewer’de Security loglarında Event ID 4771 ile oturum açma hata loglarını görebiliriz. Aşağıdaki logda “semih.imir” kullanıcı adıyla “172.30.1.100” ip adresli bilgisayar tarafından oturum açma girişimleri görülmektedir.