У нас есть учетная запись домена, которая заблокирована через один из двух серверов. Встроенный аудит только говорит нам об этом (заблокирован от SERVER1, SERVER2).

Учетная запись блокируется в течение 5 минут, кажется, около 1 запроса в минуту.

Первоначально я попытался запустить procmon (из sysinternals), чтобы посмотреть, не появляется ли новый START PROCESS после того, как я разблокирую учетную запись. Ничего подозрительного не возникает. После запуска procmon на моей рабочей станции и перехода в оболочку UAC (conscent.exe) из стека кажется, что ntdll.dll а также rpct4.dll Вам звонят, когда вы пытаетесь авторизоваться против AD (не уверен).

Есть ли какой-то способ сузить, какой процесс вызывает запрос аутентификации для нашего DC? Это всегда один и тот же DC, поэтому мы знаем, что на этом сайте должен быть сервер. Я мог бы попытаться найти вызовы в Wireshark, но я не уверен, что это сузило бы, какой процесс фактически вызывает его.

Ни одна служба, ни сопоставление дисков, ни запланированные задачи не используют эту учетную запись домена, поэтому она должна быть чем-то, что хранит кредиты домена. На любом сервере нет открытых сеансов RDP с этой учетной записью домена (мы проверили).

Дальнейшие заметки

Да, на соответствующем контроллере домена включены проверки входа "Успех / Сбой" - события сбоев не регистрируются, пока учетная запись не будет заблокирована.

Дальнейшее копание показывает, что LSASS.exe делает KERBEROS позвоните в соответствующий ДЦ, как только учетная запись разблокирована. Ему предшествует (как правило) Java, который, кажется, называется vpxd.exe который является процессом vCenter. НО, когда я смотрю на другой "server2", где может (также) может произойти блокировка учетной записи, я никогда не вижу вызова lsass.exe и только процессы apache порождаются. Единственное отношение, которое они имеют, заключается в том, что SERVER2 является частью кластера vSphere SERVER1 (сервер1 является операционной системой vSphere).

Ошибка на DC

Так что, похоже, все, что мне скажет AD, это то, что это ошибка Kerberos перед авторизацией. Я проверил и не было билетов с klist и сделал флеш в любом случае на всякий случай. До сих пор не знаю, что является причиной этой ошибки Kerberos.

Index              : 202500597
EntryType          : FailureAudit
InstanceId         : 4771
Message            : Kerberos pre-authentication failed.

                     Account Information:
                         Security ID:        S-1-5-21-3381590919-2827822839-3002869273-5848
                         Account Name:        USER

                     Service Information:
                         Service Name:        krbtgt/DOMAIN

                     Network Information:
                         Client Address:        ::ffff:x.x.x.x
                         Client Port:        61450

                     Additional Information:
                         Ticket Options:        0x40810010
                         Failure Code:        0x18
                         Pre-Authentication Type:    2

                     Certificate Information:
                         Certificate Issuer Name:
                         Certificate Serial Number:
                         Certificate Thumbprint:

                     Certificate information is only provided if a certificate was used for pre-authentication.

                     Pre-authentication types, ticket options and failure codes are defined in RFC 4120.

                     If the ticket was malformed or damaged during transit and could not be decrypted, then many fields
                      in this event might not be present.