Connexions aux comptes locaux
Voyez tous les comptes Windows locaux de vos ordinateurs, qui s’y connecte et où des mots de passe sont devinés.
À quoi sert la page
Connexions aux comptes locaux est une page de la console Lavawall®, dans la section Rapports. Lavawall est la plateforme de RMM, de sécurité et de conformité de ThreeShield, conçue et hébergée au Canada. À propos de cette fonctionnalité.
Les comptes Windows locaux se trouvent sur l’ordinateur même, et non dans Active Directory ni dans Microsoft 365. Désactiver une personne dans un annuaire ne désactive pas ces comptes, qui survivent donc souvent au départ de l’employé. Cette page les énumère, une entrée par compte et par ordinateur, tels que les signale l’agent Lavawall.
Pour chaque compte, vous voyez la date de dernière activité, de dernière connexion réussie et de dernier échec, le nombre d’ouvertures de session réussies et échouées dans la période choisie, ainsi que la raison du plus récent échec. Les comptes qui correspondent à un schéma de devinette de mots de passe ou qui ont été verrouillés sont signalés.
Vous pouvez ouvrir les événements d’ouverture de session Windows bruts de n’importe quel compte pour voir l’heure, le résultat, le type d’ouverture de session, l’adresse IP source et le poste de travail de chaque tentative.
Ce que vous voyez
- Cartes de sommaire : Accounts, With Failures, Brute Force, Lockouts, Unknown User et Total Failures. Cliquez sur une carte (sauf Total Failures) pour filtrer le tableau.
- Filtres : Search, Window, Show, Last Seen, Include machine accounts et un bouton de réinitialisation.
- Tableau Local Accounts : Account, Device, Last Seen, Last Success, Last Failure, OK, Fail et Last Failure Reason, avec un bouton pour ouvrir les événements.
- Logon Events : les événements d’ouverture de session bruts d’un compte.
Comment utiliser Connexions aux comptes locaux
Comment repérer les comptes attaqués
- Cliquez sur la carte Brute Force ou choisissez Brute force pattern sous Show.
- Survolez le badge rouge Brute Force pour voir les échecs sur 24 heures et sur 7 jours et le nombre d’adresses IP sources d’où ils proviennent.
- Cliquez sur le bouton des événements à la fin de la ligne et vérifiez From IP et Poste de travail pour chaque échec.
Comment repérer les comptes inutilisés ou oubliés
- Sous Last Seen, choisissez 30+ days ago, 90+ days ago, 1+ year ago ou Never seen.
- Triez selon Last Seen en cliquant sur le titre de la colonne.
- Cliquez sur le nom d’un appareil pour ouvrir la page de détails de cet ordinateur, puis supprimez ou désactivez le compte à cet endroit.
Comment changer la période
- Choisissez une Window allant de Last 24 hours à Last year. La valeur par défaut est Last 90 days.
- Les décomptes OK et Fail ainsi que les cartes de sommaire se mettent à jour selon cette période.
Comment examiner les événements d’ouverture de session d’un compte
- Repérez le compte avec Search (compte, appareil ou adresse IP).
- Cliquez sur le bouton des événements à la fin de sa ligne.
- Passez en revue When (UTC), Result, Logon Type, Motif, Statut, From IP, Poste de travail, Ordinateur et Authentification, puis cliquez sur Fermer.
Conseils
- Survolez une carte de sommaire pour obtenir une explication de ce qu’elle compte.
- Unknown User signifie que le dernier échec utilisait un nom d’utilisateur qui n’existe pas sur l’ordinateur. C’est typique de l’énumération de comptes; comparez l’adresse IP source.
- Verrouillé signifie que le plus récent échec a été refusé parce que le compte était verrouillé, généralement après une rafale de tentatives échouées.
- Les comptes dont le nom se termine par « $ » sont des comptes d’ordinateur, et non de personnes. Ils sont masqués, sauf si vous cochez Include machine accounts.
- Utilisez le lien en haut de la page pour voir ces comptes fusionnés dans la liste complète des identités avec les comptes d’annuaire.
Dépannage
- Les décomptes de réussites et d’échecs sont absents.
- La collecte des événements d’ouverture de session Windows n’est pas encore configurée. Les noms de compte et les dates de dernière activité restent exacts.
- « Showing the N most recently active accounts. »
- La liste est plafonnée. Réduisez la période ou choisissez une seule entreprise pour voir le reste.
- Les motifs d’échec affichent une catégorie, mais pas de nom.
- La recherche du nom de l’état n’est pas disponible; la catégorie demeure exacte.
- Des comptes d’un ordinateur sont absents.
- La page n’affiche que les comptes signalés par l’agent Lavawall. Vérifiez que l’agent est installé et en ligne sur cet ordinateur.
Articles connexes
Besoin d’aide?
Consultez le centre de soutien ou joignez notre équipe de soutien en nous indiquant la page où vous étiez :
- Clavardage : utilisez le bouton de clavardage dans le coin inférieur droit de cette page pour joindre notre équipe tout de suite. Là où le consentement aux témoins est requis, le clavardage démarre après votre acceptation (paramètres des témoins).
- Courriel : envoyez un message à notre équipe de soutien par la page de contact. Il est lu directement par une personne.
- Téléphone : AB : 1-403-538-5053, C.-B. : 1-778-731-1339, ON : 1-289-724-8829, É.-U. : 1-406-988-7333, R.-U. : +44 20 3695 9786.
Les noms, entreprises, appareils et chiffres des images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.