[решено] Заблоктрованы все учетные записи в домене ...

amel27 · Отправлено: **15:58, 29-08-2010** | #11

sgww, на крайний случай пару ссылок (само собой, после бэкапа):

http://www.petri.co.il/forums/showthread.php?t=21433
http://www.petri.co.il/reset_domain_...er_2003_ad.htm

Delirium · Отправлено: **16:05, 29-08-2010** | #12

Однозначно Kido. Смотрим политику аудита на предмет множественных отказов в подключении по разным именам пользователей с одного IP. Таким образом легко вычисляется проблемная машина.

sgww · Отправлено: **18:15, 29-08-2010** | #13

Не могу посмотреть политику, так как не могу залогинется под админом, я выключил все рабочие станции, потушил все сервера ... в сети остался только КД ... на нем точно стоят патчи, закрывающие уязвимости MS08-067, MS08-068, MS09-001. Учетка админа должна ведь разблокироваться если это кидо, но не хочет ... Снял один жесткий диск с КД (RAID1) гоняю по нему антивирус ... почему-то не могу открыть файл журнала из \WINDOWS\system32\config говорит, что файл журнала поврежден, может есть какие-нибудь средства восстановления

menpavel · Отправлено: **03:27, 30-08-2010** | #14

Может быть попробовать какой-нибудь Active pasword recover с какого-нибудь hiren-CD сбросить пароль для Administrator? Честно говоря при наличие AD пароль такой тулзой не взламывал, но попробовать можно. Я думаю, что должно сработать. конечно же там есть возможность разблокировать учетную запись.
sgww, ты ведь сервер от сети отключил, когда все это делал? А ты уверен на счет политики, что 15 минут, а не навсегда?

sgww · Отправлено: **10:05, 30-08-2010** | #15

Поменял пароль доменного Администратора по умолчанию как написано http://www.petri.co.il/reset_domain_...er_2003_ad.htm, после чего загрузился в безопасном режиме с поддержкой сети, зашел под доменным администратором и разлочил все аккаунты....

Всех благодарю за отзывчивость .... вопрос решен ....

amel27 · Отправлено: **12:49, 30-08-2010** | #16

Цитата sgww:

вопрос решен »

супер!.. осталось выяснить причину...

Delirium · Отправлено: **15:02, 30-08-2010** | #17

Цитата amel27:

осталось выяснить причину.. »

Я думаю, в аудите событий он найдет, все что ему нужно

sgww · Отправлено: **15:06, 31-08-2010** | #18

Причина DDOS конкурентов .... взломали один из моих linux серверов и на нем запустили такую пакость которая подбирала пароли в домене ... блокировка как оказалась стояла навсегда (надо все-таки вести журнал обслуживания серверов видимо, я был уверен что не менял значение по умолчанию) ... так, что бдите коллеги ... всем еще раз спасибо ...

PS ... разместил перевод статьи,ссылку на которую мне дал amel27 (еще раз спасибо, пользуясь случаем), у себя в блоге (http://sgww.livejournal.com/14753.html), так что если кто-то плохо владеет английским ...