Windows AD 沒有來源的登入錯誤LOG

偶爾會看見這樣的紀錄完全不知道是"從哪來"的登入紀錄

或是像這樣 只有帳戶卻沒有來源，找USER也只會能跟你說不知道都檢查過了

解決方法:  透過監聽封包的方式去判斷來源

微軟的工具軟體:

1.Microsoft Network Monitor

https://www.microsoft.com/en-us/download/details.aspx?id=4865
2.Microsoft NetworkMonitor Parsers

https://nmparsers.codeplex.com/releases

2個都要安裝，有可能需要重開機才可以運作

1.安裝後啟動 先注意select networks是否有抓到網卡

2.再來點一下 New capture tab,再來只要點一下Start就可以開始側錄網卡封包

右下角的地區是解析出來的封包內容，只要比對時間就可以找到封包的內容

但是要注意你的登入紀錄是在哪一台AD上面，搞錯AD是找不到紀錄的

主要找尋的內容是:1.時間 2.來源 3.帳戶

目的當然是你的AD(IP)，可別照打了

找到MAC位置才是最重要的，請USER查詢他所有可能與AD認證的裝置

不管是電腦，平板，手機，或是非Windows 系統的PC，或是虛擬的OS都可能

如果真的USER找不到的話就把MAC給封鎖了吧，

一個自己都不知道的裝置用著自己的帳戶在跟AD認證這不是很奇怪嗎?