BrianMer
commented
2 months ago And here is one from Filebeat to Logstash TCP/5044:
{
"_index": "logstash-2024.04",
"_id": "0J-BGY8Bz6W6pw6KAbtI",
"_version": 1,
"_score": 0,
"_ignored": [
"message.keyword",
"event.original.keyword"
],
"_source": {
"ecs": {
"version": "8.0.0"
},
"message": "MSWinEventLog#0112#011Applicatio Apr 26 10:23:17 2024#0111202#011SceCli#011N/A#011N/A#011Warning#011DC-WS2022-Sonde.sonde.ad#011N/A#011#011Les stratégies de sécurité ont été propagées avec avertissement. 0x534 : Le mappage entre les noms de compte et les ID de sécurité n’a pas été effectué. L’Aide avancée pour ce problème est disponible sur https://support.microsoft.com. Recherchez \"troubleshooting 1202 events\". L’erreur 0x534 se produit lorsqu’un compte utilisateur dans un ou plusieurs objets de stratégie de groupe (GPO) n’a pas pu être résolus en identifiant de sécurité. Cette erreur peut être causée par un compte utilisateur incorrect ou un compte utilisateur supprimé référencé soit dans les groupes Droits des Utilisateurs, soit dans une branche de groupes restreints GPO. Pour résoudre cet événement, contacter un administrateur dans le domaine pour effectuer les actions suivantes : 1. Identifiez les comptes n’ayant pas pu être résolus en identifiant de sécurité : À partir de la ligne de commande, entrez : FIND /I \"introuvable\" %SYSTEMROOT%\\Security\\Logs\\winlogon.log La chaîne précédant \"introuvable\" dans la sortie FIND identifie les noms de compte ayant un problème. Exemple : RosalieMignon introuvable. Dans ce cas, le SID pour le nom d’utilisateur \"RosalieMignon\" n’a pas pu être déterminé. Ceci se produit le plus souvent en raison d’un compte supprimé, renommé ou orthographié différemment (par exemple \"RosaliMignon\"). 2. Utilisez RSoP pour identifier les Droits des Utilisateurs, les groupes restreints et les GPO source spécifiques contenant les comptes ayant un problème : a. Démarrer -> Exécuter -> RSoP.msc b. Consultez les résultats de Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\User Rights Assignment et Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\Restricted Groups pour toutes erreurs marquées d’un X rouge. c. Pour tout Droit utilisateur ou Groupe restreint marqué d’un X rouge , le GPO correspondant contenant les paramètres de stratégie du problème est listé sous la colonne nommé \"GPO source\". Notez les Droits utilisateur spécifiques, les Groupes restreints et les sources GPO génératrices d’erreurs. 3. Supprimez les comptes non résolus de la stratégie de groupe a. Démarrer -> Exécutez -> MMC.EXE b. À partir du menu fichier, sélectionnez \"Ajouter/Supprimer un composant logiciel enfichable\" c. À partir de la boîte de dialogue \"Ajouter/Supprimer un composant logiciel enfichable\" sélectionnez \"Ajouter...\" d. Dans la boîte de dialogue \"Ajout d’un composant logiciel enfichable autonome\" sélectionnez \"Stratégie de groupe\" et cliquez \"Ajouter\" e. Dans la boîte de dialogue \"Sélectionner l’Objet stratégie de groupe\" cliquez sur le bouton \"Parcourir\". f. Dans la boîte de dialogue \"Parcourir pour un Objet stratégie de groupe\" choisissez l’onglet \"Tout\" g. Pour chaque GPO source identifiée lors de l’étape 2, corrigez les Droits utilisateur ou Groupes restreints marqués d’un X rouge lors de cette étape. Ces Droits utilisateur ou Groupes restreints peuvent être corrigés en supprimant ou corrigeant toutes références aux comptes ayant un problème, identifiés à l’étape 1.#01118288#015",
"@timestamp": "2024-04-26T08:23:17.000Z",
"sof-elk.processing_time": 0.00093198,
"host": {
"architecture": "x86_64",
"mac": [
"BC-24-11-12-C4-4C",
"BC-24-11-46-A4-61",
"BC-24-11-5D-2C-32",
"BC-24-11-A3-6B-1D"
],
"name": "relai-log-srv",
"id": "d71e290da28048c0bc100945fc378362",
"hostname": "relai-log-srv",
"containerized": false,
"ip": [
"10.3.0.196",
"fe80::be24:11ff:fea3:6b1d",
"192.168.151.2",
"fe80::be24:11ff:fe12:c44c",
"192.168.152.1",
"fe80::be24:11ff:fe46:a461",
"192.168.149.2",
"fe80::be24:11ff:fe5d:2c32"
],
"os": {
"kernel": "4.18.0-513.24.1.el8_9.x86_64",
"platform": "rocky",
"codename": "Green Obsidian",
"name": "Rocky Linux",
"type": "linux",
"version": "8.9 (Green Obsidian)",
"family": "redhat"
}
},
"event": {
"severity": 4,
"original": "MSWinEventLog#0112#011Applicatio Apr 26 10:23:17 2024#0111202#011SceCli#011N/A#011N/A#011Warning#011DC-WS2022-Sonde.sonde.ad#011N/A#011#011Les stratégies de sécurité ont été propagées avec avertissement. 0x534 : Le mappage entre les noms de compte et les ID de sécurité n’a pas été effectué. L’Aide avancée pour ce problème est disponible sur https://support.microsoft.com. Recherchez \"troubleshooting 1202 events\". L’erreur 0x534 se produit lorsqu’un compte utilisateur dans un ou plusieurs objets de stratégie de groupe (GPO) n’a pas pu être résolus en identifiant de sécurité. Cette erreur peut être causée par un compte utilisateur incorrect ou un compte utilisateur supprimé référencé soit dans les groupes Droits des Utilisateurs, soit dans une branche de groupes restreints GPO. Pour résoudre cet événement, contacter un administrateur dans le domaine pour effectuer les actions suivantes : 1. Identifiez les comptes n’ayant pas pu être résolus en identifiant de sécurité : À partir de la ligne de commande, entrez : FIND /I \"introuvable\" %SYSTEMROOT%\\Security\\Logs\\winlogon.log La chaîne précédant \"introuvable\" dans la sortie FIND identifie les noms de compte ayant un problème. Exemple : RosalieMignon introuvable. Dans ce cas, le SID pour le nom d’utilisateur \"RosalieMignon\" n’a pas pu être déterminé. Ceci se produit le plus souvent en raison d’un compte supprimé, renommé ou orthographié différemment (par exemple \"RosaliMignon\"). 2. Utilisez RSoP pour identifier les Droits des Utilisateurs, les groupes restreints et les GPO source spécifiques contenant les comptes ayant un problème : a. Démarrer -> Exécuter -> RSoP.msc b. Consultez les résultats de Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\User Rights Assignment et Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\Restricted Groups pour toutes erreurs marquées d’un X rouge. c. Pour tout Droit utilisateur ou Groupe restreint marqué d’un X rouge , le GPO correspondant contenant les paramètres de stratégie du problème est listé sous la colonne nommé \"GPO source\". Notez les Droits utilisateur spécifiques, les Groupes restreints et les sources GPO génératrices d’erreurs. 3. Supprimez les comptes non résolus de la stratégie de groupe a. Démarrer -> Exécutez -> MMC.EXE b. À partir du menu fichier, sélectionnez \"Ajouter/Supprimer un composant logiciel enfichable\" c. À partir de la boîte de dialogue \"Ajouter/Supprimer un composant logiciel enfichable\" sélectionnez \"Ajouter...\" d. Dans la boîte de dialogue \"Ajout d’un composant logiciel enfichable autonome\" sélectionnez \"Stratégie de groupe\" et cliquez \"Ajouter\" e. Dans la boîte de dialogue \"Sélectionner l’Objet stratégie de groupe\" cliquez sur le bouton \"Parcourir\". f. Dans la boîte de dialogue \"Parcourir pour un Objet stratégie de groupe\" choisissez l’onglet \"Tout\" g. Pour chaque GPO source identifiée lors de l’étape 2, corrigez les Droits utilisateur ou Groupes restreints marqués d’un X rouge lors de cette étape. Ces Droits utilisateur ou Groupes restreints peuvent être corrigés en supprimant ou corrigeant toutes références aux comptes ayant un problème, identifiés à l’étape 1.#01118288#015"
},
"syslog": {
"facility": 1,
"priority": 12,
"severity_label": "Warning",
"facility_label": "user-level"
},
"log": {
"source": {
"address": "192.168.151.1:59392"
}
},
"@version": "1",
"hostname": "DC-WS2022-Sonde.sonde.ad",
"tags": [
"process_archive",
"filebeat",
"beats_input_codec_plain_applied"
],
"input": {
"type": "syslog"
},
"agent": {
"id": "156e0c6e-7748-4b13-9ad9-dc0a4a2dd575",
"ephemeral_id": "4c718a07-0856-49dc-90e6-9503f73b7d54",
"type": "filebeat",
"version": "8.13.2",
"name": "relai-LOG-SRV"
}
},
"fields": {
"agent.version.keyword": [
"8.13.2"
],
"host.architecture.keyword": [
"x86_64"
],
"syslog.severity_label.keyword": [
"Warning"
],
"host.name.keyword": [
"relai-log-srv"
],
"host.hostname": [
"relai-log-srv"
],
"host.mac": [
"BC-24-11-12-C4-4C",
"BC-24-11-46-A4-61",
"BC-24-11-5D-2C-32",
"BC-24-11-A3-6B-1D"
],
"hostname": [
"DC-WS2022-Sonde.sonde.ad"
],
"ecs.version.keyword": [
"8.0.0"
],
"host.os.version": [
"8.9 (Green Obsidian)"
],
"host.os.name": [
"Rocky Linux"
],
"agent.name": [
"relai-LOG-SRV"
],
"host.id.keyword": [
"d71e290da28048c0bc100945fc378362"
],
"host.name": [
"relai-log-srv"
],
"host.os.version.keyword": [
"8.9 (Green Obsidian)"
],
"event.severity": [
4
],
"event.original": [
"MSWinEventLog#0112#011Applicatio Apr 26 10:23:17 2024#0111202#011SceCli#011N/A#011N/A#011Warning#011DC-WS2022-Sonde.sonde.ad#011N/A#011#011Les stratégies de sécurité ont été propagées avec avertissement. 0x534 : Le mappage entre les noms de compte et les ID de sécurité n’a pas été effectué. L’Aide avancée pour ce problème est disponible sur https://support.microsoft.com. Recherchez \"troubleshooting 1202 events\". L’erreur 0x534 se produit lorsqu’un compte utilisateur dans un ou plusieurs objets de stratégie de groupe (GPO) n’a pas pu être résolus en identifiant de sécurité. Cette erreur peut être causée par un compte utilisateur incorrect ou un compte utilisateur supprimé référencé soit dans les groupes Droits des Utilisateurs, soit dans une branche de groupes restreints GPO. Pour résoudre cet événement, contacter un administrateur dans le domaine pour effectuer les actions suivantes : 1. Identifiez les comptes n’ayant pas pu être résolus en identifiant de sécurité : À partir de la ligne de commande, entrez : FIND /I \"introuvable\" %SYSTEMROOT%\\Security\\Logs\\winlogon.log La chaîne précédant \"introuvable\" dans la sortie FIND identifie les noms de compte ayant un problème. Exemple : RosalieMignon introuvable. Dans ce cas, le SID pour le nom d’utilisateur \"RosalieMignon\" n’a pas pu être déterminé. Ceci se produit le plus souvent en raison d’un compte supprimé, renommé ou orthographié différemment (par exemple \"RosaliMignon\"). 2. Utilisez RSoP pour identifier les Droits des Utilisateurs, les groupes restreints et les GPO source spécifiques contenant les comptes ayant un problème : a. Démarrer -> Exécuter -> RSoP.msc b. Consultez les résultats de Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\User Rights Assignment et Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\Restricted Groups pour toutes erreurs marquées d’un X rouge. c. Pour tout Droit utilisateur ou Groupe restreint marqué d’un X rouge , le GPO correspondant contenant les paramètres de stratégie du problème est listé sous la colonne nommé \"GPO source\". Notez les Droits utilisateur spécifiques, les Groupes restreints et les sources GPO génératrices d’erreurs. 3. Supprimez les comptes non résolus de la stratégie de groupe a. Démarrer -> Exécutez -> MMC.EXE b. À partir du menu fichier, sélectionnez \"Ajouter/Supprimer un composant logiciel enfichable\" c. À partir de la boîte de dialogue \"Ajouter/Supprimer un composant logiciel enfichable\" sélectionnez \"Ajouter...\" d. Dans la boîte de dialogue \"Ajout d’un composant logiciel enfichable autonome\" sélectionnez \"Stratégie de groupe\" et cliquez \"Ajouter\" e. Dans la boîte de dialogue \"Sélectionner l’Objet stratégie de groupe\" cliquez sur le bouton \"Parcourir\". f. Dans la boîte de dialogue \"Parcourir pour un Objet stratégie de groupe\" choisissez l’onglet \"Tout\" g. Pour chaque GPO source identifiée lors de l’étape 2, corrigez les Droits utilisateur ou Groupes restreints marqués d’un X rouge lors de cette étape. Ces Droits utilisateur ou Groupes restreints peuvent être corrigés en supprimant ou corrigeant toutes références aux comptes ayant un problème, identifiés à l’étape 1.#01118288#015"
],
"host.os.type": [
"linux"
],
"agent.id.keyword": [
"156e0c6e-7748-4b13-9ad9-dc0a4a2dd575"
],
"input.type": [
"syslog"
],
"tags": [
"process_archive",
"filebeat",
"beats_input_codec_plain_applied"
],
"host.architecture": [
"x86_64"
],
"agent.id": [
"156e0c6e-7748-4b13-9ad9-dc0a4a2dd575"
],
"ecs.version": [
"8.0.0"
],
"host.containerized": [
false
],
"log.source.address": [
"192.168.151.1:59392"
],
"sof-elk.processing_time": [
0.00093198
],
"host.hostname.keyword": [
"relai-log-srv"
],
"agent.version": [
"8.13.2"
],
"host.os.family": [
"redhat"
],
"hostname.keyword": [
"DC-WS2022-Sonde.sonde.ad"
],
"input.type.keyword": [
"syslog"
],
"tags.keyword": [
"process_archive",
"filebeat",
"beats_input_codec_plain_applied"
],
"syslog.facility": [
1
],
"host.ip": [
"10.3.0.196",
"fe80::be24:11ff:fea3:6b1d",
"192.168.151.2",
"fe80::be24:11ff:fe12:c44c",
"192.168.152.1",
"fe80::be24:11ff:fe46:a461",
"192.168.149.2",
"fe80::be24:11ff:fe5d:2c32"
],
"agent.type": [
"filebeat"
],
"host.os.kernel.keyword": [
"4.18.0-513.24.1.el8_9.x86_64"
],
"host.os.kernel": [
"4.18.0-513.24.1.el8_9.x86_64"
],
"@version": [
"1"
],
"host.os.name.keyword": [
"Rocky Linux"
],
"host.id": [
"d71e290da28048c0bc100945fc378362"
],
"agent.type.keyword": [
"filebeat"
],
"agent.ephemeral_id.keyword": [
"4c718a07-0856-49dc-90e6-9503f73b7d54"
],
"host.os.codename.keyword": [
"Green Obsidian"
],
"host.mac.keyword": [
"BC-24-11-12-C4-4C",
"BC-24-11-46-A4-61",
"BC-24-11-5D-2C-32",
"BC-24-11-A3-6B-1D"
],
"agent.name.keyword": [
"relai-LOG-SRV"
],
"syslog.priority": [
12
],
"host.os.codename": [
"Green Obsidian"
],
"message": [
"MSWinEventLog#0112#011Applicatio Apr 26 10:23:17 2024#0111202#011SceCli#011N/A#011N/A#011Warning#011DC-WS2022-Sonde.sonde.ad#011N/A#011#011Les stratégies de sécurité ont été propagées avec avertissement. 0x534 : Le mappage entre les noms de compte et les ID de sécurité n’a pas été effectué. L’Aide avancée pour ce problème est disponible sur https://support.microsoft.com. Recherchez \"troubleshooting 1202 events\". L’erreur 0x534 se produit lorsqu’un compte utilisateur dans un ou plusieurs objets de stratégie de groupe (GPO) n’a pas pu être résolus en identifiant de sécurité. Cette erreur peut être causée par un compte utilisateur incorrect ou un compte utilisateur supprimé référencé soit dans les groupes Droits des Utilisateurs, soit dans une branche de groupes restreints GPO. Pour résoudre cet événement, contacter un administrateur dans le domaine pour effectuer les actions suivantes : 1. Identifiez les comptes n’ayant pas pu être résolus en identifiant de sécurité : À partir de la ligne de commande, entrez : FIND /I \"introuvable\" %SYSTEMROOT%\\Security\\Logs\\winlogon.log La chaîne précédant \"introuvable\" dans la sortie FIND identifie les noms de compte ayant un problème. Exemple : RosalieMignon introuvable. Dans ce cas, le SID pour le nom d’utilisateur \"RosalieMignon\" n’a pas pu être déterminé. Ceci se produit le plus souvent en raison d’un compte supprimé, renommé ou orthographié différemment (par exemple \"RosaliMignon\"). 2. Utilisez RSoP pour identifier les Droits des Utilisateurs, les groupes restreints et les GPO source spécifiques contenant les comptes ayant un problème : a. Démarrer -> Exécuter -> RSoP.msc b. Consultez les résultats de Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\User Rights Assignment et Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\Restricted Groups pour toutes erreurs marquées d’un X rouge. c. Pour tout Droit utilisateur ou Groupe restreint marqué d’un X rouge , le GPO correspondant contenant les paramètres de stratégie du problème est listé sous la colonne nommé \"GPO source\". Notez les Droits utilisateur spécifiques, les Groupes restreints et les sources GPO génératrices d’erreurs. 3. Supprimez les comptes non résolus de la stratégie de groupe a. Démarrer -> Exécutez -> MMC.EXE b. À partir du menu fichier, sélectionnez \"Ajouter/Supprimer un composant logiciel enfichable\" c. À partir de la boîte de dialogue \"Ajouter/Supprimer un composant logiciel enfichable\" sélectionnez \"Ajouter...\" d. Dans la boîte de dialogue \"Ajout d’un composant logiciel enfichable autonome\" sélectionnez \"Stratégie de groupe\" et cliquez \"Ajouter\" e. Dans la boîte de dialogue \"Sélectionner l’Objet stratégie de groupe\" cliquez sur le bouton \"Parcourir\". f. Dans la boîte de dialogue \"Parcourir pour un Objet stratégie de groupe\" choisissez l’onglet \"Tout\" g. Pour chaque GPO source identifiée lors de l’étape 2, corrigez les Droits utilisateur ou Groupes restreints marqués d’un X rouge lors de cette étape. Ces Droits utilisateur ou Groupes restreints peuvent être corrigés en supprimant ou corrigeant toutes références aux comptes ayant un problème, identifiés à l’étape 1.#01118288#015"
],
"host.os.family.keyword": [
"redhat"
],
"@timestamp": [
"2024-04-26T08:23:17.000Z"
],
"host.os.type.keyword": [
"linux"
],
"syslog.severity_label": [
"Warning"
],
"host.os.platform": [
"rocky"
],
"host.os.platform.keyword": [
"rocky"
],
"agent.ephemeral_id": [
"4c718a07-0856-49dc-90e6-9503f73b7d54"
],
"syslog.facility_label": [
"user-level"
],
"log.source.address.keyword": [
"192.168.151.1:59392"
],
"syslog.facility_label.keyword": [
"user-level"
]
},
"ignored_field_values": {
"message.keyword": [
"MSWinEventLog#0112#011Applicatio Apr 26 10:23:17 2024#0111202#011SceCli#011N/A#011N/A#011Warning#011DC-WS2022-Sonde.sonde.ad#011N/A#011#011Les stratégies de sécurité ont été propagées avec avertissement. 0x534 : Le mappage entre les noms de compte et les ID de sécurité n’a pas été effectué. L’Aide avancée pour ce problème est disponible sur https://support.microsoft.com. Recherchez \"troubleshooting 1202 events\". L’erreur 0x534 se produit lorsqu’un compte utilisateur dans un ou plusieurs objets de stratégie de groupe (GPO) n’a pas pu être résolus en identifiant de sécurité. Cette erreur peut être causée par un compte utilisateur incorrect ou un compte utilisateur supprimé référencé soit dans les groupes Droits des Utilisateurs, soit dans une branche de groupes restreints GPO. Pour résoudre cet événement, contacter un administrateur dans le domaine pour effectuer les actions suivantes : 1. Identifiez les comptes n’ayant pas pu être résolus en identifiant de sécurité : À partir de la ligne de commande, entrez : FIND /I \"introuvable\" %SYSTEMROOT%\\Security\\Logs\\winlogon.log La chaîne précédant \"introuvable\" dans la sortie FIND identifie les noms de compte ayant un problème. Exemple : RosalieMignon introuvable. Dans ce cas, le SID pour le nom d’utilisateur \"RosalieMignon\" n’a pas pu être déterminé. Ceci se produit le plus souvent en raison d’un compte supprimé, renommé ou orthographié différemment (par exemple \"RosaliMignon\"). 2. Utilisez RSoP pour identifier les Droits des Utilisateurs, les groupes restreints et les GPO source spécifiques contenant les comptes ayant un problème : a. Démarrer -> Exécuter -> RSoP.msc b. Consultez les résultats de Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\User Rights Assignment et Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\Restricted Groups pour toutes erreurs marquées d’un X rouge. c. Pour tout Droit utilisateur ou Groupe restreint marqué d’un X rouge , le GPO correspondant contenant les paramètres de stratégie du problème est listé sous la colonne nommé \"GPO source\". Notez les Droits utilisateur spécifiques, les Groupes restreints et les sources GPO génératrices d’erreurs. 3. Supprimez les comptes non résolus de la stratégie de groupe a. Démarrer -> Exécutez -> MMC.EXE b. À partir du menu fichier, sélectionnez \"Ajouter/Supprimer un composant logiciel enfichable\" c. À partir de la boîte de dialogue \"Ajouter/Supprimer un composant logiciel enfichable\" sélectionnez \"Ajouter...\" d. Dans la boîte de dialogue \"Ajout d’un composant logiciel enfichable autonome\" sélectionnez \"Stratégie de groupe\" et cliquez \"Ajouter\" e. Dans la boîte de dialogue \"Sélectionner l’Objet stratégie de groupe\" cliquez sur le bouton \"Parcourir\". f. Dans la boîte de dialogue \"Parcourir pour un Objet stratégie de groupe\" choisissez l’onglet \"Tout\" g. Pour chaque GPO source identifiée lors de l’étape 2, corrigez les Droits utilisateur ou Groupes restreints marqués d’un X rouge lors de cette étape. Ces Droits utilisateur ou Groupes restreints peuvent être corrigés en supprimant ou corrigeant toutes références aux comptes ayant un problème, identifiés à l’étape 1.#01118288#015"
],
"event.original.keyword": [
"MSWinEventLog#0112#011Applicatio Apr 26 10:23:17 2024#0111202#011SceCli#011N/A#011N/A#011Warning#011DC-WS2022-Sonde.sonde.ad#011N/A#011#011Les stratégies de sécurité ont été propagées avec avertissement. 0x534 : Le mappage entre les noms de compte et les ID de sécurité n’a pas été effectué. L’Aide avancée pour ce problème est disponible sur https://support.microsoft.com. Recherchez \"troubleshooting 1202 events\". L’erreur 0x534 se produit lorsqu’un compte utilisateur dans un ou plusieurs objets de stratégie de groupe (GPO) n’a pas pu être résolus en identifiant de sécurité. Cette erreur peut être causée par un compte utilisateur incorrect ou un compte utilisateur supprimé référencé soit dans les groupes Droits des Utilisateurs, soit dans une branche de groupes restreints GPO. Pour résoudre cet événement, contacter un administrateur dans le domaine pour effectuer les actions suivantes : 1. Identifiez les comptes n’ayant pas pu être résolus en identifiant de sécurité : À partir de la ligne de commande, entrez : FIND /I \"introuvable\" %SYSTEMROOT%\\Security\\Logs\\winlogon.log La chaîne précédant \"introuvable\" dans la sortie FIND identifie les noms de compte ayant un problème. Exemple : RosalieMignon introuvable. Dans ce cas, le SID pour le nom d’utilisateur \"RosalieMignon\" n’a pas pu être déterminé. Ceci se produit le plus souvent en raison d’un compte supprimé, renommé ou orthographié différemment (par exemple \"RosaliMignon\"). 2. Utilisez RSoP pour identifier les Droits des Utilisateurs, les groupes restreints et les GPO source spécifiques contenant les comptes ayant un problème : a. Démarrer -> Exécuter -> RSoP.msc b. Consultez les résultats de Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\User Rights Assignment et Computer Configuration\\Windows Settings\\Security Settings\\Local Policies\\Restricted Groups pour toutes erreurs marquées d’un X rouge. c. Pour tout Droit utilisateur ou Groupe restreint marqué d’un X rouge , le GPO correspondant contenant les paramètres de stratégie du problème est listé sous la colonne nommé \"GPO source\". Notez les Droits utilisateur spécifiques, les Groupes restreints et les sources GPO génératrices d’erreurs. 3. Supprimez les comptes non résolus de la stratégie de groupe a. Démarrer -> Exécutez -> MMC.EXE b. À partir du menu fichier, sélectionnez \"Ajouter/Supprimer un composant logiciel enfichable\" c. À partir de la boîte de dialogue \"Ajouter/Supprimer un composant logiciel enfichable\" sélectionnez \"Ajouter...\" d. Dans la boîte de dialogue \"Ajout d’un composant logiciel enfichable autonome\" sélectionnez \"Stratégie de groupe\" et cliquez \"Ajouter\" e. Dans la boîte de dialogue \"Sélectionner l’Objet stratégie de groupe\" cliquez sur le bouton \"Parcourir\". f. Dans la boîte de dialogue \"Parcourir pour un Objet stratégie de groupe\" choisissez l’onglet \"Tout\" g. Pour chaque GPO source identifiée lors de l’étape 2, corrigez les Droits utilisateur ou Groupes restreints marqués d’un X rouge lors de cette étape. Ces Droits utilisateur ou Groupes restreints peuvent être corrigés en supprimant ou corrigeant toutes références aux comptes ayant un problème, identifiés à l’étape 1.#01118288#015"
]
}
}
philhagen
Hi Phil,
I also tested with some Windows machines via syslog TCP/5514, and the result is that fields are not matching the right value in the log. Here are two samples, one from a Windows Server, and one from a Windows 10 machine: