如何在活动目录里发现域帐号经常被锁定源

Posted 2020-12-21

最近部门总监的域帐号经常被锁住，总解锁也不是一个办法，需要判断是哪台设备上触发了这个锁域帐号这个事。

办法有很多，我只说一个。用POWERSHELL办法。

到域控制器上，运行命令：
Get-WinEvent -FilterHashtable @{logname=‘security‘;id=4740}

呵呵，会看到好多吧。

然后你肯定想看看是谁引起的。
用以下POWERSHELL命令
Get-WinEvent -FilterHashtable @{logname=‘security‘;id=4740} | fl

你会看到Caller Computer Name,通过这个值就能抓出来是哪台电脑引起的。
如果在你们公司有人恶意猜测别人的密码，你可以找到计算机帐号，然后由计算机帐号就能找到谁在干坏事。