Audit des tentatives de connexion Windows

Vue d'ensemble: dans cet article, nous allons examiner comment autoriser l'audit des événements de connexion sur vos terminaux Windows et recevoir un rapport CSV sur les tentatives de connexion qui se sont produites entre deux dates.

Le rapport affichera l'heure de création de l'événement, le domaine\nom d'utilisateur et le résultat de la tentative de connexion. Les trois logs des tentative de connexion sont les suivants: réussite de la connexion interactive (Interactive login success), réussite de la connexion à distance (Remote login success)  et échec de la connexion (Login failure).

Tout d'abord, vous devez vous assurer que l'audit des tentatives de connexion est activé sur le terminal. Si c'est déjà le cas, vous pouvez passer à l'étape 4.

Les journaux d'audit peuvent être activés à distance - comme indiqué ci-dessous - ou vous pouvez passer à l 'étape 1 pour les activer manuellement.

Vous pouvez utiliser la ligne de commande suivante pour répertorier les paramètres de stratégie d'audit:

auditpol /get /category:*

En outre, vous pouvez activer les événements d’audit de connexion à distance à l’aide de cette commande:

auditpol /set /subcategory:Logon /success:enable /failure:enable

Temps estimé pour terminer cette procédure:  5 à 10 minutes

Étape 1: accédez à votre terminal Windows. Cliquez sur Clé Windows (WinKey) + R sur votre clavier. Entrez gpedit.msc et cliquez sur OK. 

Étape 2:  accédez au chemin suivant:  Computer Configuration  > Windows Settings  > Security Settings >Local Policies  >  Audit Policy 

Étape 3: Double-cliquez sur  Audit logon events

Cela ouvrira une fenêtre appelée Audit logon events Properties. Cochez les cases  Success et Failure  et cliquez sur OK.

Étape 4: Accédez à app.atera.com> Admin > Scripts > Bibliothèque de script partagée: 

 
Étape 5. Recherchez le script nommé Login Audit (vous pouvez utiliser la zone Nom du script pour filtrer les résultats):

Étape 6. Cliquez sur Cloner pour copier le script dans Mes scripts:

Vous trouverez maintenant le script sous 'Mes scripts' nommé 'Login Audit (copy)':

Étape 7:  Accédez à Agent console > Gérer > Exécuter un script et choisissez le script que vous avez cloné à l’étape 6. Vous aurez un nouveau fichier csv dans le chemin que vous avez choisi dans $ResultFile comme indiqué ci-dessous: