Auswertung von Protokolleinträgen im Ereignislog

    Hallo Forum!


    Eine Benutzerin beschwert sich, dass Sie am Wochenende ihren Rechner nicht nutzen konnte. Ich weiss, ist etwas dürftig, aber mehr Infos habe ich nicht. Da ich an dem Rechner diverse Checks unter dem Administratorkonto gemacht habe, vermute ich, dass es ein Problem bei der Eingabe der Benutzerkennung gab. Ich habe dazu im Sicherheitslog ein paar Einträge gefunden, weiss diese aber nicht zu deuten. Der Client hat den Namen RP-D-25


    Ereignistyp: Erfolgsüberw.
    Ereignisquelle: Security
    Ereigniskategorie: An-/Abmeldung
    Ereigniskennung: 540
    Datum: 22.03.2008
    Zeit: 07:07:34
    Benutzer: DOMÄNE\RP-D-25$
    Computer: DOMÄNENCONTROLLER
    Beschreibung:
    Erfolgreiche Netzwerkanmeldung:
    Benutzername: RP-D-25$
    Domäne: DOMÄNE
    Anmeldekennung: (0x0,0xF38ABF9)
    Anmeldetyp: 3
    Anmeldevorgang: Kerberos
    Authentifizierungspaket: Kerberos
    Arbeitsstationsname:
    Anmelde-GUID: {28c50186-54ad-b4a2-4fe2-4bc427311f19}
    Aufruferbenutzername: -
    Aufruferdomäne: -
    Aufruferanmeldekennung: -
    Aufruferprozesskennung: -
    Übertragene Dienste: -
    Quellnetzwerkadresse: 192.168.1.85
    Quellport: 0


    Warum wird hier ein Benutzer aus Domäne und Client gebildet?


    Ereignistyp: Erfolgsüberw.
    Ereignisquelle: Security
    Ereigniskategorie: An-/Abmeldung
    Ereigniskennung: 538
    Datum: 22.03.2008
    Zeit: 07:07:34
    Benutzer: DOMÄNE\RP-D-25$
    Computer: DOMÄNENCONTROLLER
    Beschreibung:
    Benutzerabmeldung:
    Benutzername: RP-D-25$
    Domäne: DOMÄNE
    Anmeldekennung: (0x0,0xF38AC0E)
    Anmeldetyp: 3


    Dasselbe Problem, nur erfolgt hier offensichtlich eine Benutzerabmeldung, nur von welchem Benutzer?


    Ich kann im Log aber nichts finden, ob sich der Benutzer überhaupt mit seinen Kontodaten versucht hat anzumelden, oder ob er ggf. den Benutzernamen, der noch auf "Administrator" gestanden haben muss, nicht geändert hat und so zumindest ein erfolgloser Anmeldeversuch mit dem Administratorkonto erkennbar sein müsste.


    Möglich ist auch, dass dort noch "RP-D-25 (dieser Computer)" stand und der Benutzer unbewusst versucht hat, sich lokal anzumelden. Wenn das so ist, gäbe es die oben geposteten Logs überthaupt?

    Hi,


    das der "Rechner" RP-D-25 sich beim Server anmeldet hat seine Richtigkeit, denn beim Einloggprozess meldet sich zuerst der PC an der Domäne an und dann der User, warum jetzt der anmeldeversuch fehlschlägt lässt sich so nicht nachvollziehen, ausser man sitzt selbst vor der Kiste....

    Es ist so, dass der Rechner ein Hardwareproblem hatte und die Benutzerin den Rechner schon gar nicht starten konnte bzw. bootete der Rechner wohl korrekt, jedoch konnte sie aufgrund eines GraKa-Fehlers nichts sehen. Dann hat sie ihn wieder ausgeschaltet und das ganze ging noch ein paarmal so weiter. Mittlerweile ist das Hardwareproblem behoben.