Das Benutzerkonto-Audit konfigurieren

Lokale Benutzerkonten auf Sicherheitsprobleme prüfen

Geschrieben von Erdinc Akay

Zuletzt aktualisiert Vor etwa 1 Monat

Das Benutzerkonto-Audit konfigurieren

Dialog Check hinzufügen auf ADVENTURE-WEB01 mit ausgewähltem Benutzerkonto-Audit. Anzeigename mit Benutzerkonto-Audit vorbelegt. Bei gesperrten Konten warnen und Bei aktiviertem Standard-Admin warnen sind beide aktiviert. Max. inaktive Tage ist 90. Unter Erweitert ist Systemkonten pruefen deaktiviert. Die Schaltfläche Check hinzufügen ist hervorgehoben.

Das Benutzerkonto-Audit prüft lokale Benutzerkonten auf einem Gerät — gesperrte Konten, inaktive Benutzer und das Standard-Administratorkonto. Er hilft dir, Sicherheitshygiene-Probleme wie ruhende Konten zu erkennen, die entfernt werden sollten.

Voraussetzungen

Du benötigst die Berechtigung Monitoring-Check-Verwaltung.
Das Zielgerät muss einen verbundenen Agent haben.

Schritte

Gehe zu Geräte und öffne das Gerät.
Klicke auf den Tab Checks → Check hinzufügen → Benutzerkonto-Audit.
Konfiguriere die Prüfregeln:

Feld	Typ	Erforderlich	Standard	Bedeutung
Bei gesperrten Konten warnen	Schalter	Nein	Ja	Warnung, wenn ein Benutzerkonto gesperrt ist
Bei aktiviertem Standard-Admin warnen	Schalter	Nein	Ja	Warnung, wenn das integrierte Administrator-/Root-Konto aktiviert ist
Max. inaktive Tage	Zahl	Nein	90	Warnung, wenn ein Konto seit dieser Anzahl Tagen nicht verwendet wurde (0 deaktiviert die Prüfung)
Systemkonten prüfen	Schalter	Nein	Nein	System-/Dienstkonten in die Prüfung einbeziehen

Klicke auf Check hinzufügen.

Tipps

Gesperrte Konten können auf Brute-Force-Versuche hindeuten — untersuche, warum das Konto gesperrt wurde.
Die Standard-Admin-Warnung erkennt Server, auf denen das integrierte Administrator-Konto noch aktiviert ist. Best Practice ist, es zu deaktivieren und ein benanntes Admin-Konto zu verwenden.
Setze Max. inaktive Tage basierend auf der Richtlinie deiner Organisation. 90 Tage sind eine häufige Compliance-Anforderung.
Lasse Systemkonten prüfen deaktiviert, es sei denn, du musst Dienstkonten gezielt prüfen. Systemkonten wie SYSTEM und LocalService sind nie interaktiv und lösen Fehlalarme aus.

Nach dem ersten Check-Intervall siehst du das Ergebnis im Checks-Tab des Geräts.

Die Audit-Ergebnisse lesen

Öffne den Check im Checks-Tab, um zwei Ansichten zu sehen. Detail zeigt den letzten Lauf als Momentaufnahme: die Kontosummen (Gesamt, Aktiv, Admins, Gesperrt, Inaktiv) und die auffälligen Konten, hervorgehoben mit dem Grund, aus dem sie markiert wurden. Verlauf zeigt, wie sich das Audit über frühere Läufe verändert hat.

Den Trend im Zeitverlauf verfolgen

Die Verlaufsansicht stellt die Anzahl der Konten gesamt über frühere Läufe als Trendlinie dar. Eine steigende Linie bedeutet, dass Konten auf dem Gerät hinzugekommen sind; eine fallende Linie bedeutet, dass Konten entfernt wurden. Die Linie gibt dir einen schnellen Eindruck, ob die Kontoanzahl wächst, schrumpft oder stabil bleibt — es ist ein Trend, kein expliziter Hinzugefügt-/Entfernt-Wert, lies sie daher zusammen mit der Lauf-Tabelle darunter.

Unter dem Diagramm listet eine Tabelle pro Lauf jeden aufgezeichneten Lauf mit diesen Spalten auf:

Spalte	Beschreibung
Zeit	Wann der Lauf stattgefunden hat
Status	Das Gesamtergebnis dieses Laufs (OK, Warnung, Kritisch oder Fehler)
Konten	Die Anzahl der Konten gesamt für diesen Lauf — dieselbe Zahl, die in der Trendlinie dargestellt wird
Auffällig	Die in diesem Lauf markierten Konten, jeweils mit ihrem Grund angezeigt (zum Beispiel gesperrt oder inaktiv); zeigt Keine, wenn der Lauf sauber war

Durch den Vergleich der Zeilen siehst du, wann ein Konto zum ersten Mal auftauchte oder markiert wurde, sodass du eine Veränderung der Trendlinie einem bestimmten Lauf zuordnen kannst.

Siehe auch: Benutzerkonto-Audit-Referenz