12294错误事件的处理--利用审核日志查找病毒来源

最近公司的一台域服务器（windows server 2003域控制器）系统日志大量出现事件ID号为12294，来源为SAM的错误日志，错误信息描述如下：

-------------------------------------------

事件类别目录: 无
事件识别码: 12294
日期:  2009/3/9
时间:  下午 02:08:29
使用者:  Administrator
电脑: 

描述:
SAM 资料库无法锁定帐户 Administrator，因为资源发生错误，例如硬碟写入失败(资料中包含 指定错误码)。在您提供了数次错误的密码之后，帐户会被锁定。请重新设定上述帐户 的密码。

--------------------------------------------

 

        如上图所示，此错误会频繁出现，事件查看器里“全国山河一片红”。

 

        到微软支持网站查询了一下事件ID号，原来是网络中某一台电脑感染了W32.Randex.F 蠕虫病毒。从描述中可知administrator账号被意外锁定失败。

 

        现在只要查出网络中感染病毒的机器就可以了，按照以前的经验，马上运行sniffer监控网络的运行情况，但由于W32.Randex.F 蠕虫病毒发作时不建立大量连接，也不会在网络中大量发送数据包，只会在宿主机上不断地尝试以administrator账号在后台登录，而超过错误次数后活动目录会锁定此账号，造成意外锁定账号失败的错误发生。所以很难通过sniffer查出故障来源。

 

        但通过活动目录的账号登录机制：账号登录都必需到PDC去验证身份，必定会产生大量登录失败的记录。因此，我们可以监控账号的登录事件来查找病毒源。

 

         打开域控制器--“系统管理工具”--“域安全策略”--“本机原则”--“稽核原则”，如下图：

 

        由于审核失败的事件对于管理员排错比较有帮助，为了减少日志数据量，我们只设置只审核失败的登入事件。如下图：

 

 

       这样，我们再打开域控制器（PDC）的事件查看器，点击“安全性”，就可以看到大量的错误登录的审核失败事件，打开事件描述，我们就可以知道哪台电脑有问题了，如下图：

 

 

注：可能会有多台机器感染w32.Randex.f病毒，需要管理员不断的查看审核日志，跟进处理。