Olá,
nos últimos dias recebi uma dúvida por e-mail muito interessante: como logar as atividades de logon e logoff dos usuário?
A resposta é simples: não precisa. O Windows já possui recursos suficientes para fazer isso nativamente. Basta ativar as diretivas de auditoria de logon e tudo vai pro log de eventos. O trabalho todo então é só centralizar tudo isso e analisar depois. Você pode até criar um script para isso ou usar o LogParser.
Se você não gostou ainda ou não tem muita experiência com log de eventos do Windows, pode criar uma coisa mais simples, usando scripts de logon e logoff. O problema, nesse caso, é a perda de perfomance e os riscos inerentes do uso desta técnica. Você vai entender melhor a seguir.
Nos dois links abaixo, você pode ver uma discussão sobre esse assunto e um link para o site do Robert Mueller, MVP, que apresenta um script em VBScript que escreve hora e local de logon dos usuários em arquivos texto simples.
http://www.tutorials-win.com/ActiveDirectory/monitor-users/
e
http://www.rlmueller.net/Logon5.htm
Note que, no primeiro link, o próprio Robert explica uma terceira alternativa, usando o campo LastLogon que fica no AD. O único problema desse campo é que ele não é replicado para outros servidores, e fica armazenado somente no servidor em que o usuário efetuou logon.
Ok, mas qual o problema de usar um arquivo texto para guardar esse tipo de informação? Segurança. No meu ponto de vista, esta é uma solução simples, para ser utilizada somente em situações pequenas que não necessitam um controle muito rígido dessas informações. Digo isso por uma questão lógica: como é o script de logon que escreve no arquivo TXT e script de logon roda no contexto do usuário logado, podemos concluir que o usuário precisa ter direito de escrita no arquivo. Nem que seja somente Append (adicionar dados no final do arquivo), mas ele tem que ter permissão. Isso abre possibilidade para um usuário mais esperto atacar o sistema de duas formas: 1 - inundando o log com entradas inválidas; 2 - criando entradas inválidas para outros usuários, sem que eles tenham logado no sistema. Tudo bem que existe a diretiva de auditoria de acesso aos objetos, mas ainda assim prefiro a primeira alternativa.
Espero ter esclarecido mais um pouco sobre o assunto e até a próxima!
Comentários
Postar um comentário
Lopes : Olá vinicios valew pela postagem!!!! esse site e d+
eu trabalho em uma laboratorio e queria criar uma scrip .bat para registrar em um arquivo .txt quando logins foram feitos em cada computador de cada laboratorio.
OBS.: eu quero que os arquivos .txt sejam copiados para um unico pc em uma unica pasta.
e possivel? [8/10/09 15:07 - link]
Priscila : OI vinicius!
Trabalho em uma empresa que determinou por norma que cada usuário pode logar somente uma vez na rede. Trabalhamos aqui com o AD.
Porém tem um setor aqui que 3 usuários tem que logar em mais de uma máquina. tem como efetuar este procedimento.
Eu tenho um script em VBS de limite de login na rede. [21/10/09 12:18 - link]