Question

Recientemente un equipo se conecto al dominio provocando una serie de alertas en nuestros antivirus, solo tenemos la ip que genero al momento de logearse en el dominio, pero no sabemos el nombre del equipo, tampoco sabemos si fue por acceso remote o local...
Hay alguna utilidad o un registro que me pueda ayudar a solventar estas preguntas..?

el sistema operative que utilizamos es Windows Server 2008 r2

Agradezco de antemano su ayuda...

 

Fdy!

Answer 1

Puedes ubicar la concesion del DHCP y ordenarla por fecha y por IP y visualizar el registro de eventos de seguridad y los archivos netlogon.log y netlogon.dns

Tambien puedes realizar un nslookup a la IP y ver si te responde el reverso, pero eso depende de como estaba la configuracion del equipo en el momento de conectarse y tambien de tu DNS con respecto a las registraciones dinamicas y los PTR.

Saludos.

Answer 2

Si entró a tu red y adquirió una IP entonces busca bien que tu DHCP debe decirte el nombre y Mac Address del equipo que se conecto. Si en todo caso no le encuentras entonces buscalo en los Logs del DNS que ahi te dira quienes se han conectado a tu dominio y con que IP lo han de hacer.

Ahora bien si lo que has tenido es un ataque a tu red y lo hicieron con un equipo MAC (con OS2010 en Adelante) no encontrarás un nombre de equipo porque el DHCP no lo reconoce simplemente te aparece la casilla de conexion en el DHCP pero aparece sin nombre pero lo que si te aparece es la MAC ADDRESS y eso si puedes bloquarlo en tu Firewall.

Un saludo,

AT.