Una de las tareas más recurrentes en la administración de sistemas es el bloqueo de cuentas de usuario
cuando una cuenta de usuario se bloquea porque el usuario ha iniciado o incorrectamente sesión o ha
intentado iniciar sesión incorrectamente con su password en varias oportunidades.
Pero qué pasa cuando estas cuentas se bloquean constantemente sin que el usuario haya ingresado incorrectamente
su password.
Es porque se quedaron ancladas en alguna aplicación en contraste en las contraseñas de alguna aplicación
o en algún servicio de Windows o en cualquier cosa y éste automáticamente recurrentemente está intentando
loguearse y bloquear nuestra cuenta de usuario.
Aquí tengo este equipo cliente para recrear el ambiente tengo este equipo cliente con esta cuenta llamada
Jota Gomís vamos a iniciar sesión en ella con la contraseña equivocadamente varias veces para que se
nos bloquee nuestra cuenta vemos que aquí ya está bloqueada nuestra cuenta vamos a irnos a nuestro dominio
en este caso esto aplica para cualquier sistema operativo desde Windows Server 2008 hacia adelante vamos
a desbloquear nuestra cuenta vemos que está bloqueada nuestra cuenta la desbloqueamos pero sigue bloqueando
nuestra cuenta nosotros queremos saber desde qué equipos se está bloqueando esta cuenta cuál es el equipo
que está bloqueando para poder entrar y revisar de pronto las credenciales que están guardadas en ese
equipo.
De pronto la aplicación de Aloud siempre bloquea las cuentas.
Entonces allí son solamente nosotros queremos saber desde qué equipo se está bloqueando esta cuenta
para poder hacer alguna acción sobre ese equipo en este caso la única forma más sencilla que tenemos
nosotros es el visor de eventos el visor de eventos de nuestro controlador de dominio nos va a decir
desde donde se está bloqueando esta cuenta a través de un Heydi que les voy a especificar primero si
debemos.
Si tenemos varios controladores de dominio primero debemos saber desde que desde qué controlador de
dominio se está autorizando ese usuario en este caso como tenemos un solo controlador de dominio nos
vamos a ir a nuestro visor de eventos vamos a irnos aquí a la parte de herramientas Visor de eventos
y aquí nosotros vamos a irnos a la parte de registro de Windows en la parte de seguridad vamos a hacer
un filtro para poder filtrar mejor el tema.
Vamos a hacer un filtro y vamos a filtrarlo por el registro o el Heydi de evento 47 40.
En este caso vamos a aceptar en este caso vemos que tenemos una auditoría correcta y me dice que es
administración de cuentas de usuario que es misión es de la administración de cuentas de usuario que
se bloqueó una cuenta de usuario como lo vivimos aquí en la información.
Cuál es el sujeto Sistem vemos que el nombre de la cuenta está en este caso aquí vemos que el dominio
se llama con toso y que la cuenta de que se está bloqueando se llama con toso vaques las votaciones
nombre de la cuenta Jota Gómez información adicional que el nombre del autor de la llamada o el nombre
del equipo que la está bloqueando se llama Click con toso este es el nombre de nuestro equipo cliente
que está tratando de bloquear nuestra cuenta vamos a ingresar así a nuestra cuenta para poder saber
que ese equipo es el que está bloqueando nuestra cuenta y vamos a poder realizar alguna acción sobre
ese equipo si nosotros vamos a la información del sistema.
Vamos a ver que es el equipo que está bloqueando nuestra cuenta en este caso llamado Quely con toso.
Entonces de esta forma nosotros podemos saber cuál es el equipo que está bloqueando nuestra cuenta muy
facilito a través del visor de eventos de nuestro controlador de dominio.
Allí se van a registrar todos los eventos de bloqueo vemos que yo hice tres eventos de bloqueo y vemos
que todos me dicen que es clic con todos o el que está bloqueando nuestra cuenta y entonces en este
caso nosotros vamos a poder filtrar a través de la idea de evento 47 40 que es el de bloqueo de cuentas
de usuario y nosotros vamos a poder identificar ese equipo y vamos a poder realizar alguna acción en
nuestro equipo.
Se puede estar bloqueando la cuenta automáticamente por muchas razones porque hay una credencial guardada
por Bush quien de pronto en las credenciales guardadas en el equipo donde se está bloqueando hay alguna
aplicación o algún servicio que tiene configurada esa cuenta para que sea identifique o inicia sesión
con esa cuenta y nosotros cambiar la contraseña y quedar amarrada de esa cuenta con esa contraseña.
En ese equipo automáticamente va a comenzar a querer autentificar con eso y eso es lo que está bloqueando
nuestro nuestra cuenta.
Entonces esto es un pequeño truco a través del visor de eventos lo van a poder conocer muy fácilmente.