Newsgroup: it.comp.os.win.win2000
Titolo: loggare chi si autentica nel dominio

dove attivo su win2000 server la registrazione di chi si logga al dominio?
e' gia' attivata in default?
 e come faccio a vedere poi questo log??
grazie


[CUT]
Ciao, potresti attivare l'audit e poi controllare il log nell'Event Viewer, 
nel registro Protezione; prova a leggere questi articoli:
HOW TO: Controllare oggetti di Active Directory in Windows 2000.
http://support.microsoft.com/?id=314955
HOW TO: Abilitare e applicare il controllo della protezione di Windows.
http://support.microsoft.com/?id=300549
E vedi anche qui:
http://www.microsoft.com/windows2000/techinfo/reskit/en-us/gp/515.asp
Ciao!
-- 
_______________________________
        Microsoft® Technical Advice
         news://
news.microsoft.com
http://support.microsoft.com/newsgroups
 

 [CUT]
Anchio ci stò provando, ma abilitando l'auditing ricevo una marea di
informazioni, per me inutili, tipo concessioni ticket di servizio, che si
ripetono a pochi minuti l'una dall'altra anche se nessuno fa login o logoff.

 login o logoff.
Ciao, dipende da cosa hai abilitato; infatti se abiliti l'audit su troppi 
tipi di attivita', ne puo' risultare  un eccesso di log e di informazioni 
ricevute; prova a vedere qui per maggiori informazioni su cosa ti interessa 
abilitare o meno. Prova a consultareil link seguente e a leggere per ogni 
opzione quale tipo di accesso verra' controllato. Tu che cosa hai abilitato?
http://www.microsoft.com/windows2000/it/server/help/sag_SEtopnode.htm?id=405
 
[LINK_LUNGO]


 opzione quale tipo di accesso verra' controllato. Tu che cosa hai
abilitato?
Ho abilitato solamente "Controlla eventi accesso account" con la
registrazione
della operazioni riuscite e di quelle non riuscite.
In pratica desideravo sapere solamente quali utenti fanno logon/logoff  sul
dominio
a quale ora lo fanno e da quale macchina, e se ci sono tentativi di
autenticazione falliti (possibilmente sapere anche da quale macchina/ip
avvengono questi tentativi)
In realtà il registro protezione si riempie di eventi del tipo:
Concesso ticket di servizio:
Nome utente: Administrator
Dominio utente: MYDOMAIN.LOCALE
Nome di servizio: SERVER2K$
ID di servizio: MYDOMAIN\SERVER2K$
Opzioni ticket: 0x40810010
Tipo crittografia ticket: 0x17
Indirizzo client: 127.0.0.1
oppure:
Concesso ticket di servizio:
Nome utente: SERVER2K$
Dominio utente: MYDOMAIN.LOCALE
Nome di servizio: SERVER2K$
ID di servizio: MYDOMAIN\SERVER2K$
Opzioni ticket: 0x40810010
Tipo crittografia ticket: 0x17
Indirizzo client: 127.0.0.1
ed altri ancora tutti con ID 673 e tutti a breve distanza (alcuni secondi o
minuti) l'uno dall'altro.
In questa situazione scovare l'effettivo accesso dell'utente è veramente
difficile.

 secondi o minuti) l'uno dall'altro.
[CUT]
Ciao, prova a verificare se questo articolo rispecchia la tua situazione 
reale:
Event ID 677 and event ID 673 audit failure messages are repeatedly logged 
to the security log of Windows 2000 and Windows Server 2003 domain 
controllers.
http://support.microsoft.com/?id=824905



Beh a dire il vero l'articolo fa riferimento ad operazioni fallite, il mio
registro
invece è pieno di operazioni riuscite ovvero di ticket di servizio concessi
regolarmente,
a volte con il nome macchina a volte con la user, ne riporto altre due a
titolo esemplificativo:
questo è un logon dell'utente Pippo Baudo su un client (192.168.0.3)
Concesso ticket di autenticazione:
Nome utente: Pippo Baudo
Nome area autenticazione fornito: MIODOMINIO
ID utente: MIODOMINIO\Pippo Baudo
Nome servizio: krbtgt
ID servizio: MIODOMINIO\krbtgt
Opzioni ticket: 0x40810010
Tipo crittografia ticket: 0x17
Tipo pre-autenticazione: 2
Indirizzo client: 192.168.0.3
viene seguito da:
Concesso ticket di servizio:
Nome utente: Pippo Baudo
Dominio utente: MIODOMINIO.LOCALE
Nome di servizio: CLIENT$ (nome Netbios del client)
ID di servizio: MIODOMINIO\CLIENT$
Opzioni ticket: 0x40810010
Tipo crittografia ticket: 0x17
Indirizzo client: 192.168.0.3
e ancora
Concesso ticket di servizio:
Nome utente:  Pippo Baudo
Dominio utente: MIODOMINIO.LOCALE
Nome di servizio: SERVER2K$ (nome Netbios nel server)
ID di servizio: MIODOMINIO\SERVER2K$
Opzioni ticket: 0x40810010
Tipo crittografia ticket: 0x17
Indirizzo client: 192.168.0.3
e ancora
Concesso ticket di servizio:
Nome utente: Pippo Baudo
Dominio utente: MIODOMINIO.LOCALE
Nome di servizio: krbtgt
ID di servizio: MIODOMINIO\krbtgt
Opzioni ticket: 0x60810010
Tipo crittografia ticket: 0x17
Indirizzo client: 192.168.0.3
a continua ancora.... è normale che per un login mi saltino fuori 7-8 eventi
nel registro.
Senza contare il fatto che, come detto prima, anche senza nessun evento di
accesso continuano ugualmente a figurare a distanza di alcuni minuti eventi
di concessione di ticket di servizio.