固定某些域账户频繁被锁，即使在非工作时间也是如此。

Question

不定时频繁被锁 Event ID 4740, Caller Computer Name: QT031002 这个不是本公司的设备。 这个caller computer Name 经常变化也不固定。请问这类问题该如何解决

Answer 1

嗨，忧伤的歌，

感谢您在 Microsoft 社区论坛中发帖。

面对不定时频繁出现账户被锁定，且Event ID为4740，Caller Computer Name显示非本公司设备的问题，这通常指示着有外部设备或恶意攻击尝试访问您的系统。以下是一些建议的解决步骤：

1. 确认账户锁定策略：
   • 检查Windows Server的账户锁定策略，包括锁定阈值（即无效登录尝试次数）、锁定时间和重置锁定计数器的时间。
   • 确保这些策略设置合理，既能够防止恶意攻击，又不会因正常操作失误而导致账户频繁锁定。
2. 分析安全日志：
   • 查看与安全事件ID 4740相关的详细日志信息，特别是Caller Computer Name和登录失败的时间、原因等。
   • 搜索其他相关的登录失败事件（如Event ID 4776），以获取更全面的攻击尝试信息。
3. 追踪Caller Computer Name：
   • 如果Caller Computer Name不是本公司设备，尝试通过IP地址追踪其来源。
   • 使用网络监控工具或联系网络管理员，以获取更多关于这些IP地址的信息。
4. 加强网络安全措施：
   • 确保所有服务器和客户端设备都安装了最新的安全补丁和防病毒软件。
   • 配置防火墙规则，以阻止来自未知或不受信任IP地址的访问。
   • 考虑实施多因素身份验证，以增加对敏感账户的访问安全性。

此致敬意

Neuvi

Answer 2

我们公司设置了需要VPN和短信双重认证才能访问，而且部分用户连VPN的权限都没有。

关于追踪Caller Computer Name：

1. 如何尝试通过IP地址追踪其来源？
2. 什么网络监控工具可以追踪到？