PowerShell ile Active Directory'deki Oturum Açma Girişimlerini İzleme

Etki Alanı Denetleyicileri varsayılan olarak başarılı oturum açma girişimlerini izler. Tüm oturum açma girişimlerinin tüm olayları, Olay Görüntüleyicide günlüğe kaydedilir. Bu yazıda PowerShell ile tüm oturum açma olaylarının nasıl izleneceğini ele alacağım. Hadi dalalım.

Neyle ilgili?

Başarılı oturum açma işlemleri 4624 kimliğiyle günlüğe kaydedilir. Başarısız denemeler 4771 kimliğiyle günlüğe kaydedilir. Ayrıca kullanıcı adını da belirtmeliyiz.

Başarılı ve başarısız Oturum Açma İşlemleri için Kod Örnekleri

Başarılı Oturum Açma Sayısı - 4624

Aşağıdaki kod, f.bizeps (Franz Bizeps) kullanıcı adıyla yapılan tüm başarılı oturum açma işlemlerini görüntüler ?

Get-EventLog -LogName Security -InstanceId 4624 | 
Where-Object Message -match "f.bizeps" | 
Format-Table TimeGenerated,Message -AutoSize -Wrap

Biraz daha kesin olarak, yalnızca son oturum açmayı görüntülemek için Select-Object'i kullanabilirsiniz.

Get-EventLog -LogName Security -InstanceId 4624 | 
Where-Object Message -match "f.bizeps" | 
Select-Object -First 1 |
Format-Table TimeGenerated,Message -AutoSize -Wrap

Başarısız Oturum Açma İşlemleri - 4771

Başarısız oturum açma işlemlerinin varsayılan olarak etkin olmadığını unutmayın. Bu ayar, varsayılan etki alanı denetleyicileri ilkesinde etkinleştirilmelidir.

f.bizeps kullanıcısının tüm başarısız oturum açma işlemlerini göstermek için aşağıdaki komutu çalıştırın.

Get-EventLog -LogName Security -InstanceId 4771 | 
Where-Object Message -match "f.bizeps" | 
Format-Table TimeGenerated,Message -AutoSize -Wrap

Umarım bu yardımcı olmuştur!