উইন্ডোজ এডি ডোমেনে লক হওয়া ব্যবহারকারীর অ্যাকাউন্টের কারণটি কীভাবে খুঁজে পাবেন

Question

আউটলুকের সাথে সাম্প্রতিক ঘটনার পরে আমি ভাবছিলাম যে আমি কীভাবে নিচের সমস্যাটিকে সবচেয়ে দক্ষতার সাথে সমাধান করব:

মাঝারি আকারের এডি অবকাঠামোটি মোটামুটি সাধারণভাবে ধরে নিন: বেশ কয়েকটি ডিসি, ডিএমজেড (এসএমটিপি রিলে, ভিপিএন, সিট্রিক্স ইত্যাদি) থেকে ব্যবহারকারী প্রমাণীকরণের জন্য AD এবং LDAP ব্যবহার করে বেশ কয়েকটি পরিষেবা এবং বেশ কয়েকটি অভ্যন্তরীণ সার্ভার এবং উইন্ডোজ ক্লায়েন্ট রয়েছে several প্রমাণীকরণের জন্য সমস্ত AD এ নির্ভর করে (এক্সচেঞ্জ, এসকিউএল সার্ভার, ফাইল এবং প্রিন্ট সার্ভার, টার্মিনাল পরিষেবাদি সার্ভার)। আপনার সমস্ত সিস্টেমে সম্পূর্ণ অ্যাক্সেস রয়েছে তবে স্বতন্ত্রভাবে পরীক্ষা করতে সেগুলি কিছুটা বেশি (ক্লায়েন্ট গণনা করা)।

এখন ধরে নিন যে কোনও অজানা কারণে প্রতি কয়েক মিনিটের মধ্যে পাসওয়ার্ড লকআউট নীতিমালার কারণে একটি (বা আরও) ব্যবহারকারী অ্যাকাউন্ট লক আউট হয়ে যায়।

• এর জন্য পরিষেবা / মেশিনকে দায়ী করার সর্বোত্তম উপায় কী হবে?
• পরিকাঠামো খাঁটি, ধরে নেওয়া ছাড়া কোনও অতিরিক্ত ব্যবস্থাপনার সরঞ্জাম ছাড়া স্ট্যান্ডার্ড উইন্ডোজ এবং ডিফল্ট থেকে কয়েকটি পরিবর্তন কি কোনও উপায় আছে যে এই জাতীয় লকআউটটির কারণ অনুসন্ধানের প্রক্রিয়াটি ত্বরান্বিত বা উন্নত হতে পারে?
• এই জাতীয় অ্যাকাউন্ট লকআউট ডসের বিরুদ্ধে সিস্টেমের স্থিতিস্থাপককে উন্নত করতে কী করা যেতে পারে? অ্যাকাউন্ট লকআউট নিষ্ক্রিয় করা একটি সুস্পষ্ট উত্তর তবে তারপরে ব্যবহারকারীরা সহজেই কাজে লাগানো পাসওয়ার্ড এমনকি জটিলতা প্রয়োগের পরেও ব্যবহারকারীর ইস্যুতে চালিত হন।

Comments

PDCe- তে সুরক্ষা লগটি দেখুন

— ম্যাথিয়াস আর জেসেন

চিত্তাকর্ষক প্রশ্ন। ভালভাবে মাংস কাটা হয়েছে।

— পেকোস বিল

Answer 1

এমন কিছু যুক্ত করা যা আমি দেওয়া উত্তরগুলিতে দেখতে পাচ্ছি না।

এর জন্য পরিষেবা / মেশিনকে দায়ী করার সর্বোত্তম উপায় কী হবে?

আপনি কেবল পিডিসিতে সুরক্ষা লগটি দেখতে পারবেন না , কারণ, পিডিসির কাছে পুরো ডোমেনের অ্যাকাউন্ট লকআউট সম্পর্কিত সর্বাধিক আপ-টু-ডেট তথ্য রয়েছে তবে এতে কোন ক্লায়েন্টের কাছ থেকে তথ্য নেই (আইপি বা হোস্টনাম) ব্যর্থ লগনের প্রচেষ্টা পিডিসি ছাড়াও অন্য ডিসিতে ঘটেছিল বলে ধরে নেওয়া হয়েছিল from PDCe বলবে যে "অ্যাকাউন্ট xyz লক আউট ছিল," তবে এটি ব্যর্থ হবে না, তবে কোথা থেকে, যদি ব্যর্থ লগইনগুলি ডোমেনে অন্য কোনও ডিসি তে ঘটে থাকে on লগনকে যাচাই করেছে কেবলমাত্র ডিসি, ক্লায়েন্টের ঠিকানা সহ লগন ব্যর্থতা রেকর্ড করবে। (এছাড়াও এই আলোচনায় আরওডিসি আনছে না))

আপনার যখন বেশ কয়েকটি ডোমেন নিয়ামক রয়েছে তখন ব্যর্থ লগনের প্রচেষ্টাগুলি কোথায় থেকে আসে তা খুঁজে বের করার দুটি ভাল উপায় রয়েছে। ইভেন্ট ফরোয়ার্ডিং এবং মাইক্রোসফ্টের অ্যাকাউন্ট লকআউট সরঞ্জাম ।

আমি ইভেন্টটি কেন্দ্রীয় স্থানে ফরোয়ার্ড করতে পছন্দ করি। আপনার সমস্ত ডোমেন কন্ট্রোলার থেকে কেন্দ্রীয় লগিং সার্ভারে লগইন প্রচেষ্টা ব্যর্থ ফরোয়ার্ড। তারপরে আপনার সম্পূর্ণ ডোমেনে ব্যর্থ লগনের সন্ধানের জন্য আপনার কাছে কেবলমাত্র একটি জায়গা রয়েছে। আসলে আমি ব্যক্তিগতভাবে মাইক্রোসফ্টের অ্যাকাউন্ট লকআউট সরঞ্জামগুলি পছন্দ করি না, সুতরাং এখন একটি ভাল উপায় আছে।

ইভেন্ট ফরওয়ার্ডিং। তুমি এটা পছন্দ করবে.

পরিকাঠামো খাঁটি, ধরে নেওয়া ছাড়া কোনও অতিরিক্ত ব্যবস্থাপনার সরঞ্জাম ছাড়া স্ট্যান্ডার্ড উইন্ডোজ এবং ডিফল্ট থেকে কয়েকটি পরিবর্তন কি কোনও উপায় আছে যে এই জাতীয় লকআউটটির কারণ অনুসন্ধানের প্রক্রিয়াটি ত্বরান্বিত বা উন্নত হতে পারে?

উপরে দেখুন. তারপরে আপনি আপনার মনিটরিং সিস্টেম যেমন এসসিওএম বা নাগিওস বা আপনি যা কিছু ব্যবহার করতে পারেন, সেই একক ইভেন্ট লগটি চিরুনি দিয়ে টেক্সট বার্তাগুলি বা যাই হোক না কেন আপনার সেল ফোনটি ফুটিয়ে তুলতে পারেন। এটি এর চেয়ে বেশি ত্বরান্বিত হয় না।

এই জাতীয় অ্যাকাউন্ট লকআউট ডসের বিরুদ্ধে সিস্টেমের স্থিতিস্থাপককে উন্নত করতে কী করা যেতে পারে?

1. ব্যবহারকারী শিক্ষা। তাদের ডোমেন ব্যবহারকারীর অ্যাকাউন্টের অধীনে উইন্ডোজ পরিষেবাদি স্থাপন করা বন্ধ করতে বলুন, আরডিপি সেশনগুলি শেষ হয়ে গেলে লগ অফ করুন, কীভাবে আউটলুকের জন্য ক্যাশেড পাসওয়ার্ডগুলির উইন্ডোজ শংসাপত্র ভল্ট সাফ করবেন ইত্যাদি শিখান etc.
2. পরিচালিত পরিষেবা অ্যাকাউন্টগুলি ব্যবহার করুন যেখানে আপনি ব্যবহারকারীদের সেই অ্যাকাউন্টগুলির জন্য পাসওয়ার্ড পরিচালনা করতে পারবেন না। ব্যবহারকারীরা সব কিছু আপ। আপনি যদি কোনও ব্যবহারকারীকে একটি পছন্দ দেন তবে সে সর্বদা ভুল পছন্দ করবে। সুতরাং তাদের একটি পছন্দ না।
3. জিপিওর মাধ্যমে রিমোট সেশন সময়সীমা প্রয়োগ করে। যদি কোনও ব্যবহারকারী কোনও আরডিপি সেশনে 6 ঘন্টা অলস থাকে, তবে সেগুলি বন্ধ করে দিন।

Comments

"একজন ব্যবহারকারীকে একটি পছন্দ দিন, তিনি সর্বদা ভুল পছন্দটি করবেন"

— +1

ইশারা জন্য ধন্যবাদ পরিচালিত পরিষেবা অ্যাকাউন্টস । পরিষেবা হিসাবে চলমান ব্যবহারকারীর অ্যাকাউন্টগুলি বাদ দেওয়ার কোনও উপায় অনুসন্ধান করতে গিয়ে আমি কয়েকদিন আগে বর্ণনাটি মনে করতে পারি নি।

— জন ওরফে হট

Answer 2

কিছুক্ষণ আগে বড় পরিবেশে অ্যাডমিন অ্যাকাউন্টগুলি পরিষ্কার করার সময় আমাদের একই সমস্যা হয়েছিল। যদিও ডিসি নিরীক্ষণ লগগুলি প্রযুক্তিগতভাবে প্রয়োজনীয় তথ্য সরবরাহ করে, আমরা ম্যানেজইঞ্জিনের এডিউডিট প্লাস পণ্যটি প্রয়োগ করার সিদ্ধান্ত নিয়েছি, যা এই লগগুলি স্ক্যান করে এবং AD এর যে কোনও পরিবর্তনের পাশাপাশি লগনের প্রচেষ্টা সন্ধান করে। বিল্টিন রিপোর্টিং বৈশিষ্ট্য এবং কিছুটা এক্সেলের কাজ ব্যবহার করে আমরা লগইনগুলি কোথা থেকে এসেছে তা ট্র্যাক ডাউন করতে সক্ষম হয়েছি (বেশ সহজেই)। আমাদের ক্ষেত্রে এটি বেশিরভাগ অ্যাডমিনদের সাথে সম্পর্কিত ছিল যখন বিভিন্ন অ্যাপ্লিকেশন প্রয়োগ করার সময় পরিষেবা অ্যাকাউন্টগুলির পরিবর্তে অ্যাডমিন অ্যাকাউন্ট ব্যবহার করা হয়েছিল।

Comments

পেশাদার সংস্করণ বনাম ফ্রি সংস্করণ সম্পর্কে কোনও মন্তব্য?

— বোজোজয়ে

Answer 3

এই জাতীয় অ্যাকাউন্ট লকআউট ডসের বিরুদ্ধে সিস্টেমের স্থিতিস্থাপককে উন্নত করতে কী করা যেতে পারে?

আপনি পারবেন না।

এমন অনেক জিনিস রয়েছে যা আপনার বাড়িটি পুড়িয়ে ফেলতে পারে। ডিএইচসিপি সুযোগ শেষ না হওয়া পর্যন্ত বার বার আইপি ঠিকানার জন্য অনুরোধ করার সহজ কোডের মতো। অথবা এমএফটি পূর্ণ না হওয়া পর্যন্ত ডিরেক্টরিগুলি তৈরি করে এমন সাধারণ কোড এবং এটি পুনরুদ্ধার করতে আপনাকে আপনার পার্টিশনটি পুনরায় ফর্ম্যাট করতে হবে। আপনি সবকিছু থেকে রক্ষা করতে পারবেন না।

লকআউটগুলির সাথে আরও একটি সাধারণ দৃশ্য হ'ল এমন লোকেরা যারা কয়েক বছর আগে প্রচলিত সাধারণ ডিভাইসগুলির চেয়ে অনেক বিস্তৃত ডিভাইসে তাদের শংসাপত্রগুলি প্রবেশ করে। যেমন মুদ্রকগুলি (ইমেল স্ক্যানগুলিতে) বা স্মার্টফোন বা ট্যাবলেট। তারা যদি তাদের শংসাপত্রগুলি কোথায় প্রবেশ করে তা ভুলে যায় বা ডিভাইসে তাদের আর অ্যাক্সেস না থাকে তবে সম্ভবত এই ডিভাইসটি চিরতরে প্রমাণীকরণের চেষ্টা চালিয়ে যাবে। ইমেল প্রমাণীকরণ এই ডিভাইসগুলি ট্র্যাক করার জন্য একটি শক্তিশালী ভেক্টর, এবং আপনি তা করলেও ব্যবহারকারীর এতে অ্যাক্সেস না থাকতে পারে বা এটি কোথায় তা জানতে পারে না। আইপি 10.4.5.27? আমি এমন একজন ব্যবহারকারীকে জানি যে তাদের অ্যাকাউন্টটি আনলক করতে প্রতিদিন হেল্প ডেস্কে কল করতে হয়েছিল, তারপরে তারা তাত্ক্ষণিকভাবে লগইন করবে এবং তারপরে তাদের অ্যাকাউন্টটি আবার লক আউট হবে। তারা কয়েক মাস ধরে এটি করেছে। আমি তাদের বলেছিলাম যে তাদের অ্যাকাউন্টটির নাম পরিবর্তন করুন।

জীবনের বিচ্ছিন্নতা রয়েছে, আমরা সেগুলি সব সরাতে পারি না।