PC gestolen! Maar wanneer?

[Quina]

Er is op ons kantoor een computer gestolen :evil: en we zouden graag nakijken wanneer dit is gebeurt. Kan ik dit nakijken op de server (w2003)? Heb zelf al wat zitten rommelen in de event viewer en de dhcp leases maar kon niet vinden wat ik zocht.

 

[The Doctor]

Je kan alleen zien wanneer er als laatste op de PC gewerkt is.
Maar wanneer de PC precies is meegenomen zul je niet zien.

Je kunt op de PC zelf wel een intrusion detection installeren, zodat je weet wanneer een PC opengemaakt wordt. Maar het afkoppelen van een PC geeft geenenkel event.

 

[Quina]

Hoe kan ik dan zien wanneer op de pc het laatste is gewerkt (rekening mee houdend dat hij gestolen is en dus niet meer in ons bezit is) ?

 

[The Doctor]

hahaaaa, de grote truuk ...

Installeer de W2K3 resource kit op jouw PC (ik neem aan dat de adminpak al geïnstalleerd is).
Dan open je een run command box en typt: regsvr32 acctinfo.dll

Open nu nog eens je "AD users & computers" en je zult zien dat er een extra tab is bijgekomen, nl: Addition account info

Daar is een last-logon-timestamp te zien... Aangezien je weet wie er normaal op die PC werkt, kun je weten wanneer die als laatste aangelogd heeft.

Deze en nog meer truukjes heb ik neergeschreven op m'n blog: Krva blog onder AD must have tools.

 

[The Doctor]

en? is het gelukt?