Belangrijkste punten
- Bepaal welke event-ID’s (bijvoorbeeld 4740) en logboeklocaties vergrendelingsactiviteit vastleggen.
- Automatiseer het verzamelen en correleren van logboeken om de oorzaak van herhaalde accountvergrendelingen te achterhalen.
- Pas gerichte oplossingen toe (zoals beleidsaanpassingen, wachtwoordresets of het ontgrendelen van accounts) en voer preventieve maatregelen in tegen nieuwe vergrendelingen.
IT-professionals en cybersecurityspecialisten krijgen in hun omgeving regelmatig te maken met accountvergrendelingen, die de productiviteit van gebruikers en kritieke IT-workflows verstoren. Deze beknopte gids helpt u daarom bij het oplossen van accountvergrendelingen in Active Directory en bij het inrichten van preventieve maatregelen en andere beveiligingen.
Accountvergrendelingen in AD oplossen in 7 stappen
Voordat u begint, zijn er een paar zaken die u voor het oplossen van problemen in Active Directory nodig hebt:
- De mogelijkheid om accounts te ontgrendelen en Group Policy aan te passen voor auditing.
- Toegang tot de beveiligingslogboeken van de domein controller en tot Netlogon-logging.
- Remote access tot het vermoedelijke bron-device om opgeslagen referenties en services te inspecteren.
- Een wijzigingsvenster en helpdeskstappen voor het roteren van referenties en het herstarten van services.
Zodra aan deze voorwaarden is voldaan, kunt u de vergrendeling grondig onderzoeken met de volgende workflow.
1. Bevestig de vergrendeling op de DC en bepaal de reikwijdte
Begin met het bevestigen van de vergrendeling op de primaire domein controller.
Bekijk de PDC-emulator om het definitieve vergrendelingslogboek van het domein te controleren, inclusief de oorspronkelijke eventcontext in plaats van kopieën.
Leg vervolgens de gebruikersnaam, de domein controller, de caller computer en de foutcodes vast. Deze velden laten zien welk account is vergrendeld, welke DC dit heeft geregistreerd, welke machine de aanmelding probeerde en waarom die poging mislukte (bijvoorbeeld een onjuist wachtwoord of een verlopen ticket).
Noteer daarna het logon type, de tijdstempels, de tijdsperioden en de betrokken DC’s om gegevens op elkaar af te stemmen en patronen te herkennen. Als u bijvoorbeeld weet in welke periode en op welke controllers gerelateerde events verschijnen, kunt u zich richten op de relevante servers en voorkomt u dat u achter irrelevante gegevens aan gaat.
2. Correleer events om de bron te vinden
Correleer het vergrendelingsevent met mislukte aanmeldingen door tijdstempels, caller computers en authenticatieprotocollen te vergelijken en schakel Netlogon-diagnostiek in als de bron onduidelijk blijft. Zo achterhaalt u precies welk device of welke service de ongeldige referenties aanlevert, waardoor u het probleem sneller oplost.
3. Zoek naar veelvoorkomende boosdoeners op endpoints en in services
Bekijk eerst de endpoints en services die het vaakst verouderde referenties bevatten.
Controle | Waar u op let | Waarom |
| Windows Referentiebeheer | Opgeslagen wachtwoorden voor het vergrendelde account | Verouderde referenties kunnen automatisch opnieuw worden gebruikt |
| Toegewezen stations en gecachete RDP-profielen | Opgeslagen referenties of bewaarde verbindingen | Devices kunnen herhaaldelijk oude wachtwoorden proberen |
| Geplande taken, services en IIS-toepassingsgroepen | Taken of services die onder het account van de gebruiker draaien | Ze authenticeren continu en kunnen vergrendelingen veroorzaken |
| Mobiele/MDM-profielen voor mail, wifi en VPN | Profielen waarin het wachtwoord van de gebruiker is opgeslagen | Mobiele of VPN-clients kunnen het opnieuw proberen |
Door deze punten af te handelen, vindt u meestal de bron van de vergrendeling en kunt u die tijdig verhelpen.
4. Verhelp de directe oorzaak en controleer het resultaat
Pak vervolgens het referentieprobleem aan dat de vergrendelingscyclus veroorzaakte. Dit zijn een paar veelvoorkomende aandachtspunten:
Referentieprobleem | Aanbevolen oplossing |
| Opgeslagen wachtwoord in Windows Referentiebeheer | Verwijder of werk de opgeslagen referentie bij |
| Gecachete RDP-referenties of referenties van toegewezen stations | Verwijder de bewaarde verbinding en authenticeer opnieuw |
| Service of geplande taak die onder het gebruikersaccount draait | Wijzig het wachtwoord van het serviceaccount en herstart de service |
| Mobiel, MDM-, VPN- of wifiprofiel waarin het wachtwoord is opgeslagen | Voer het nieuwe wachtwoord opnieuw in en verwijder oude profielen |
| Verouderd gMSA- of lokaal serviceaccountgeheim | Genereer het geheim opnieuw en pas het toe op de service |
Controleer daarnaast of het probleem echt is opgelost. Ontgrendel bijvoorbeeld het gebruikersaccount in Active Directory en houd daarna de logboeken van Beveiliging en Netlogon minstens één volledige vergrendelingscyclus in de gaten om te bevestigen dat er geen nieuwe fouten meer optreden.
5. Verhard de omgeving om nieuwe vergrendelingen te voorkomen
Versterk de omgeving na het herstel om het risico op toekomstige vergrendelingen te verkleinen
Pas eerst de vergrendelingsdrempels aan en zorg voor regelmatige wachtwoordrotatie voor geprivilegieerde accounts. Maak vervolgens gebruik van gMSA voor services, vervang NTLM door Kerberos en houd de tijd op alle domeinleden gesynchroniseerd. Deze maatregelen verbeteren het beheer van referenties en helpen terugkerende incidenten te voorkomen.
6. Ruim verouderde en geprivilegieerde toegang op
Verwijder ongebruikte beheerdersaccounts en verouderde device-objecten en stem daarna de processen voor bevoorrading en de-provisioning af op één enkele bron van waarheid.
Voer periodiek reviews uit om de integriteit van referenties sterk te houden en om fouten op de achtergrond die vergrendelingen veroorzaken op te sporen en weg te nemen.
7. Leg bewijs vast en bouw waarborgen in
Documenteer na een oplossing de waargenomen tijdlijn van de vergrendeling, de event-ID’s, de hoofdoorzaak en de doorgevoerde wijzigingen in een centrale Knowledge base. Maak voor het onderhoud op lange termijn een runbook-item waarin de onderzoeks- en herstelstappen staan beschreven.
Stel tot slot aangepaste notificaties in voor terugkerende vergrendelingspatronen, zodat toekomstige incidenten vroeg worden gesignaleerd en snel worden opgepakt.
Strategieën voor het verhelpen van accountvergrendelingen met NinjaOne
NinjaOne biedt verschillende tools die gebruikersbeheer in Active Directory ondersteunen, waaronder scripts voor het monitoren van aanmeldpogingen, het volgen van inactieve accounts en het bepalen van de laatste aanmeldtijden. Het rapport “Failed Password Attempt Report” is bijzonder nuttig om mogelijke oorzaken van accountvergrendelingen te achterhalen, zeker omdat het kan worden ingesteld om resultaten voor één of meerdere gebruikers te tonen.
Quick-start guide
NinjaOne helpt u bij het beheren en oplossen van accountvergrendelingen in Active Directory (AD) dankzij de Active Directory-integratie en de scriptingmogelijkheden. Dit is hoe:
1. Active Directory-integratie
- Detectie & uitrol: NinjaOne kan agents detecteren en uitrollen op devices die aan AD zijn gekoppeld, zodat alle machines worden gemonitord.
- Beheer van referenties: sla AD-referenties veilig op in NinjaOne en beheer ze daar voor geautomatiseerde taken.
2. Scripting om vergrendelingen op te lossen
Aangepaste scripts: gebruik de scripting-engine van NinjaOne om het volgende te automatiseren:
- Accounts ontgrendelen: voer PowerShell-scripts uit om vergrendelde accounts te ontgrendelen.
- Wachtwoordresets: automatiseer wachtwoordresets voor vergrendelde gebruikers.
- Kerberos-tickets wissen: scripts kunnen Kerberos-tickets op gebruikersdevices wissen.
3. Monitoring & notificaties
- Realtime monitoring: volg AD-gerelateerde events, waaronder vergrendelingen, via het dashboard van NinjaOne.
- Aangepaste notificaties: stel notificaties in voor herhaalde vergrendelingen om problemen proactief aan te pakken.
4. Rapportage
Gedetailleerde logboeken: raadpleeg logboeken en rapporten over AD-activiteiten, inclusief de bronnen en frequentie van vergrendelingen.
Gerelateerde onderwerpen:
- Active Directory-authenticatie: een volledig overzicht
- Referenties van MSP-tools veilig beheren zonder vault
- Vergrendelde accounts detecteren in Windows [NinjaOne Script Hub]
- Zo documenteert u automatiseringsworkflows voor een soepele overdracht en onderhoud op lange termijn
- Zo stelt u lokale accountvergrendelingsbeleid consistent in bij alle klanten met PowerShell en lokaal beleid
