Nicht zuzuordnendes Event 4771 auf Domaincontroler

[CharlieScene]

Moin zusammen!
Ich habe vor circa einem Jahr nen neuen Job angetreten. Zu diesem Zeitpunkt gab es EINEN zentralen Administratoraccount in der Domäne. Ein vernünftiges Admin-Tiering stand bei mir weit oben auf der Liste.
Also sämtliche Skripte, Services, connections usw. angepasst und auf dedizierte Serviceaccounts umgebogen; der 'superadmin' wird nun nicht mehr genutzt und bleibt nur als "Fallback". So weit, so gut.
Eine Sache macht mir allerdings noch Probleme und fürchte, ich brauch da mal externe Meinungen:
Der 'superadministrator' wird unregelmäßig in der AD gesperrt. Das Eventlog des DC zeigt in diesem Zusammenhang die Eventmeldung 4771 mit 0x18 Fehlercode (Deutet meines Wissens nach auf fehlerhafte Usercredentials hin). Als Clientadresse wird ::1 angezeigt - spricht für mich also für einen Dienst / Service oder was weiß ich, ausgehend vom 'localhost', also dem DC selbst.

Ich hab etliches mehrfach geprüft: Taskscheduler, Dienste etc. etc.

Hat jemand von euch eine Idee wo ich noch gucken sollte, kennt ein Tool o.Ä um sowas zu erleichtern?

Danke für jeglichen Input!
Beste Grüße,
Charlie

 

[Gulp]

Backup eventuell?

Grüsse

Gulp

 

[CharlieScene]

Backup eventuell?

Guter Tipp - kann ich leider schon ausschließen. Habe sogar den Agent für die Backups neu installiert, ohne Erfolg.

Gruß

 

[Tamron]

Hast du das PW vom entsprechenden Account schon geändert? Dann wirst du ja schnell merken was nicht mehr läuft.

 

[CharlieScene]

Hast du das PW vom entsprechenden Account schon geändert? Dann wirst du ja schnell merken was nicht mehr läuft.

Passwort ist bereits seit ~4 Wochen geändert - soweit ich das sehen kann läuft alles..

 

[derlorenz]

Welche Rollen hat der denn noch? Eventuell dhcp? https://community.spiceworks.com/topic/1652152-domain-administrator-lock-outs-after-password-change

 

[T3Kila]

Vielleicht vom DHCP das DNS Dynamic Update? Weiß aus Leid oller Erfahrung, dass das nicht unbedingt schnell auffallen muss

 

[rg88]

Passwort ist bereits seit ~4 Wochen geändert - soweit ich das sehen kann läuft alles..

Das wird der Grund für das Problem sein. Irgendein Dienst läuft wohl noch mit dem alten Adminpasswort.

 

[Poati]

Wollte die Thematik auch noch angehen. Ähnliche Ausgangslage. Leider noch nicht dazu gekommen. In meinem Fall muss ich den Rest der Abteilung noch davon überzeugen, aber das soll wohl irgendwie zu machen sein.

Hast du ein paar Tipps für Best Practices oder ähnliches? Oder bist du einfach nach Gefühl vorgegangen?

Zu deinem Problem fällt mir leider auch nicht mehr ein, als das bereits genannte. Grundsätzlich bist du da aber auf der richtigen Spur würde ich mal sagen.

 

[t-6]

Mh-mh. Vielleicht noch mal ins Anwendungslog schauen zum selben Zeitpunkt wie die 4771-Meldungen? Gerne auch mal im System-Log ob zu dem Zeitpunkt irgendwelche Services versuchen zu starten. Und vielleicht auch mal alle Services durchschauen, ob dort einer mit den Credentials des Admin-Benutzers hinterlegt ist.

Und falls aus welchen Gründen auch immer IIS auf dem DC installiert ist, dort mal in die Anwendungspools gucken ob dort einer mit den Admin-Credentials läuft.

 

[CharlieScene]

So! Besten Dank für euer aller Mithilfe. Der Tipp:

Vielleicht vom DHCP das DNS Dynamic Update? Weiß aus Leid oller Erfahrung, dass das nicht unbedingt schnell auffallen muss

war des Rätsels Lösung! Und Danke an @derlorenz für den Link
Warum auch immer das hier konfiguriert ist, aber seit ich dies am Freitag geändert habe kommen keine fehlgeschlagenen Anmeldungen mehr von localhost!

Wollte die Thematik auch noch angehen. Ähnliche Ausgangslage. Leider noch nicht dazu gekommen. In meinem Fall muss ich den Rest der Abteilung noch davon überzeugen, aber das soll wohl irgendwie zu machen sein.

Hast du ein paar Tipps für Best Practices oder ähnliches? Oder bist du einfach nach Gefühl vorgegangen?

Meinst du den nicht personenbezogenen Superadmin oder das ungewünscht Verhalten danach?
Zu ersterem:
Ich habe mich grob an dem Guide von Frankysweb (Link) orientiert, natürlich muss man immer schauen wie die eigene Infrastruktur aussieht und wir die normalen Prozesse sind. Danach dann ein Konzept schreiben, Ablauf, GPOs und nach Möglichkeit eine Liste aller möglichen Services, Dienste, Tasks etc. damit dedizierte Serviceaccounts erstellt werden können. Und dann gucken wo es knallt

Schönen Wochenstart allen!

 

[Poati]

@CharlieScene
Sowas wie den Guide von Franky meinte ich schon! Besten Dank Frankysweb hat mich bisher auch noch nie enttäuscht. Eine unglaublich gute Anlaufstelle für AD und Exchange.