Utilidad EventCombMT para buscar registro de sucesos de bloqueos de cuentas

EventCombMT es una herramienta de multiproceso que puede utilizar para buscar los registros de sucesos de varios equipos distintos para sucesos específicos, todos desde una ubicación central. Puede configurar EventCombMT para buscar en los registro de sucesos de una forma muy detallada. A continuación, se muestran algunos de los parámetros de búsqueda que puede especificar:

• Identificadores de eventos individuales
• Identificadores de varios eventos
• Una gama de identificadores de eventos
• Un origen de eventos
• Texto de suceso específico
• Cuántos días se vuelven cuántos minutos, horas o para digitalizar

Algunas categorías de búsqueda específica están integradas tal como Bloqueo de cuentas. Buscar Bloqueo de cuentas está preconfigurado para incluir identificadores de evento 529, 644, 675, 676 y 681. Además puede agregar identificador de sucesos 12294 al buscar ataques potenciales contra la cuenta Administrador.

Para descargar la utilidad EventCombMT, visite el sitio Web de Microsoft siguiente:

http://www.microsoft.com/downloads/details.aspx?FamilyID=7AF2E69C-91F3-4E63-8629-B999ADDE0B9E (http://www.microsoft.com/downloads/details.aspx?FamilyID=7AF2E69C-91F3-4E63-8629-B999ADDE0B9E)

Nota La utilidad Las EventCombMT está incluida en la descarga (ALTools.exe), Bloqueo de Cuenta y Herramientas de administración.

Para buscar en los registro de sucesos de bloqueos de cuentas, siga estos pasos:

1. Inicie EventCombMT.
2. En el menú Opciones, haga clic en Set Output Directory, seleccione una carpeta existente, haga clic en Nueva carpeta para crearla para guardarse el resultado a una carpeta nueva y a continuación, haga clic en Aceptar.

   Nota La ubicación predeterminada si no especifica un directorio de resultados, es C:\Temp.

3. En el menú Searches, elija Built In Searches y a continuación, haga clic en Bloqueo de cuentas.

   Todos los controladores de dominio para el dominio aparecen en el cuadro Select To Search/Right Click To Add. En el cuadro Id. de sucesos, también ve que se agregan identificadores de evento 529, 644, 675, 676 y 681.

4. En el cuadro Id. de sucesos, escriba un espacio y a continuación, escriba 12294 Después del último número de suceso.
5. En el menú Opciones, seleccione Definir intervalo de fechas.
6. En el cuadro De, elija su fecha de comienzo y su tiempo.
7. En el cuadro Para, elija su fecha de finalización y su tiempo y a continuación, haga clic en Aceptar.
8. Haga clic en Buscar.
9. Para buscar en otros equipos (controladores sin dominios) para eventos de bloqueo de cuenta, haga clic con el botón secundario Select To Search/Right Click To Add y a continuación, haga clic en Remove Selected Servers From List. Para agregar equipos de buscar en equipos, haga clic con el botón secundario Select To Search/Right Click To Add y a continuación, haga clic en una de las opciones. Por ejemplo, para agregar equipos uno en un momento, haga clic en Add Single Server. Seleccione el servidor o los servidores que desea buscar los servidores y a continuación, haga clic en Buscar.

Al finalizar la consulta, puede ver los resultados de búsqueda en el directorio de resultados que especificó en paso 2. También puede importar los archivos a Microsoft Excel. Si hay un archivo de resultados muy grandes, puede importar la información a una base de datos de Microsoft SQL Server y utilizar consultas para evaluar la información.

Para más información acerca de la herramienta EventCombMT, vea los archivos de Ayuda incluidos en la herramienta.