Inhalt

Einleitung

Überblick

Einleitung

In diesem Dokument wird beschrieben, welche Fensterereignisse/Ereignis-IDs standardmäßig von einem Connector gelesen werden.

Überblick

Die Umbrella Virtual Appliance (VA) hat technisch gesehen nur eine Übersicht darüber, von welcher Quell-IP-Adresse sie eine DNS-Abfrage empfängt. Damit ein Benutzer der DNS-Anforderung zugeordnet werden kann, arbeitet die VA mit dem Connector zusammen, wodurch eine Zuordnung von Benutzer zu IP erfolgt. Weitere Informationen finden Sie unter Integrieren von Active Directory mithilfe von VA oder CSC.

Der Connector liest Ereignisse mit bestimmten Ereignis-IDs aus den Sicherheitsereignisprotokollen auf den Domänencontrollern. Diese Ereignisse werden analysiert, und der Benutzername sowie die Quell-IP-Adresse werden an die VA gesendet, die dann eine Zuordnung zwischen der Quell-IP und dem Benutzer erstellt.

Wenn diese Ereignisse nicht von Ihren Domänencontrollern überprüft werden, kann die VAs-Zuordnung nicht ordnungsgemäß durchgeführt werden. In diesem Artikel wird genau umrissen, auf welche Art von Ereignis-IDs der Connector standardmäßig achtet.

Ereignis-ID

Beschreibung

4624

Ereignis 4624 dokumentiert jeden erfolgreichen Versuch, sich am lokalen Computer anzumelden, unabhängig von Anmeldetyp, Standort des Benutzers oder Kontoart.

528

Ereignis 528 wird protokolliert, wenn sich ein Konto beim lokalen Computer anmeldet, außer bei Netzwerkanmeldungen. Ereignis 528 wird protokolliert, unabhängig davon, ob es sich bei dem für die Anmeldung verwendeten Konto um ein lokales SAM-Konto oder ein Domänenkonto handelt.

540

Ereignis 540 wird protokolliert, wenn ein Benutzer an einer anderen Stelle im Netzwerk eine Verbindung mit einer Ressource herstellt (z. B. einem freigegebenen Ordner), die vom Serverdienst auf diesem Computer bereitgestellt wird.

4768

Dieses Ereignis wird nur auf Domänencontrollern protokolliert, und sowohl Erfolgs- als auch Fehlerinstanzen dieses Ereignisses werden protokolliert.

4769

Windows verwendet diese Ereignis-ID sowohl für erfolgreiche als auch für fehlgeschlagene Service-Ticket-Anfragen.

Wenn Ihr Connector Ereignisse nicht direkt aus den Sicherheitsereignisprotokollen des Domänencontrollers lesen kann, können Sie ein Support-Ticket mit Umbrella erstellen, in dem Sie darum bitten, dieses in ein WMI-Abonnement zu ändern. Im Fall von WMI-Abonnements werden vom Connector alle oben aufgeführten Ereignisse abonniert. Darüber hinaus abonniert der Connector auch Abmeldeereignisse mit EventIDs, wie unten beschrieben. Beachten Sie, dass der Connector diese Abmeldeereignisse standardmäßig nicht aus den Sicherheitsereignisprotokollen liest.

Ereignis-ID

Beschreibung

538

Ereignis 538 wird protokolliert, wenn sich ein Benutzer abmeldet, sei es über eine Netzwerkverbindung, eine interaktive Anmeldung oder einen anderen Anmeldetyp (eine Übersicht der Anmeldetypen finden Sie unter Ereignis 528).

4647

Dieses Ereignis signalisiert das Ende einer Anmeldesitzung und kann mithilfe der Anmelde-ID mit dem Anmeldeereignis 4624 korreliert werden.

4634

Dieses Ereignis signalisiert auch das Ende einer Anmeldesitzung und kann mithilfe der Anmelde-ID mit dem Anmeldeereignis 4624 korreliert werden.