historia logowania

Historia logowania to zapis wcześniejszych prób i udanych logowań do systemu.

Gdzie system zapisuje ślad po każdym logowaniu

W Windowsie odpowiada za to dziennik Zabezpieczenia w Podglądzie zdarzeń, uruchamianym poleceniem eventvwr.msc. Udane logowanie zapisuje się jako zdarzenie o identyfikatorze 4624, nieudane jako 4625, przydzielenie uprawnień administracyjnych jako 4672, a zablokowanie konta po serii błędnych prób jako 4740. Kluczowe jest pole typu logowania: wartość 2 oznacza logowanie przy fizycznej klawiaturze, 3 dostęp przez sieć, na przykład do udziału plikowego, a 10 połączenie pulpitem zdalnym. Ta liczba rozstrzyga, czy ktoś siedział przy komputerze, czy łączył się z zewnątrz.

Jak wyciągnąć konkretną odpowiedź zamiast przewijać tysiące wpisów

Klikanie w Podglądzie zdarzeń przy dużym dzienniku jest bezużyteczne. Szybciej działa PowerShell z poleceniem Get-WinEvent i filtrem po nazwie dziennika oraz identyfikatorze zdarzenia, albo narzędzie wiersza poleceń wevtutil, którym da się dziennik wyeksportować do pliku evtx i przenieść na inny komputer do analizy. Dla konta lokalnego skrótową informację o ostatnim logowaniu i liczbie błędnych prób zwraca polecenie net user z nazwą konta. W środowisku domenowym trzeba uważać na różnicę między atrybutem zapisującym dokładny czas logowania tylko na jednym kontrolerze a atrybutem replikowanym z celowym opóźnieniem — ten drugi potrafi być nieaktualny o kilka dni.

Dlaczego historia bywa krótsza, niż potrzeba

Dziennik Zabezpieczenia ma ograniczony rozmiar i domyślnie nadpisuje najstarsze wpisy, więc na komputerze o dużym ruchu sieciowym historia może obejmować kilka dni zamiast miesięcy. Do tego wiele zdarzeń w ogóle się nie pojawia, jeśli w zasadach systemu nie włączono audytu odpowiedniej kategorii. Osobna pułapka to logowania na konto Microsoft lub Google — te rejestrowane są po stronie usługi, w panelu aktywności konta, a nie w dzienniku komputera, i tylko tam widać adres oraz urządzenie, z którego nastąpiło połączenie.

Ustalanie, kto naprawdę był przy komputerze

Takie analizy prowadzimy najczęściej po zgłoszeniu, że ktoś przeglądał dokumenty poza godzinami pracy albo że z firmowego konta wyszła korespondencja, której nikt się nie przyznaje. Zabezpieczamy wtedy dzienniki przed nadpisaniem, zanim zaczniemy cokolwiek zmieniać w konfiguracji, i zestawiamy zapisy z komputera z historią sesji zdalnych. Dojeżdżamy o dowolnej porze, także w nocy i w weekend, bo przy takich sprawach liczy się, żeby dziennik nie zdążył się zapełnić.