Перейти к содержимому
AD Academy
Ко всем событиям
4740Security (PDC Emulator)Учётные записиWARNОбновлено:

Учётная запись заблокирована

Что это значит

Учётка превысила лимит неверных паролей и заблокирована. Событие всегда есть на PDC Emulator, поле Caller Computer Name указывает источник.

Когда это норма, а когда подозрительно

Норма: одна блокировка после смены пароля, обычно телефон со старым паролем. Подозрительно: повторные блокировки каждые несколько минут ночью с одной машины.

Первые шаги

  1. 1Найдите 4740 на PDC Emulator и возьмите Caller Computer Name.
  2. 2На этом компьютере ищите 4771/4625 — увидите, что шлёт старый пароль.
  3. 3Типичные виновники: забытая RDP-сессия, служба с сохранённым паролем, телефон с почтой, подключённый сетевой диск.

Поля, на которые смотреть

ПолеНа что смотреть
TargetUserNameКого заблокировало. Если это сервисная учётка — ищите старый пароль в службе или планировщике.
Caller Computer NameНастоящий источник блокировки. Иногда пусто — тогда ищите 4771/4625 в то же время на DC.

Связанные события

Справочник — отправная точка расследования, а не замена политике безопасности вашей организации.