关于服务器的问题，请教高手帮忙啊。

Question

问题如上图所示，现在我们所有的电脑总是会不定时的被锁定，管理员的账户除了administrator之外还有一个，但是另外一个账户大概三个小时就会被锁定，所以想请教各位大侠，我这里是不是已经被黑进来了，我怀疑的是部分电脑已经被控制了，administration账户没有被锁定不知道是不是在域群中就没有显示，所以没有被锁定。这个问题折磨死我了，在网上搜找不大答案，急啊！！！

Answer 1

中毒了病毒在猜密码导致锁定。
http://technet.microsoft.com/en-us/library/cc738772(v=ws.10).aspx

运行组策略编辑器。
编辑Default Domain Policy，展开到Computer Configuration\Windows Settings\Security Settings\Local Policies\Audit Policy。
在右边开启“Audit Account Logon events”和“Audit Logon events”的”失败“稽核。

在开启稽核后，如果用户尝试用错误密码或者恶意软件猜测密码，DC上会记录类似下面的日志（如果您的DC是基于Windows 2003的话，记录的日志会有所不同）。
Event ID: 4771
Source: Microsoft Windows security
Kerberos pre-authentication failed.
Account Information:
Security ID: CONTOSO\Administrator
Account Name: Administrator
Service Information:
Service Name: krbtgt/CONTOSO
Network Information:
Client Address: 192.168.0.12
Client Port: 51592
根据日志中记录的客户端的IP地址等信息，我们就可以找到对应的计算机了。找到计算机后，请检查之前提到的计划任务，服务账号等问题是否存在并做相应修改。追问

1：以上操作时要在本机情况下进行还是在域环境下用管理员进行处理？2：我的服务器系统是server 2008,那么所做的是一样的吗？3：记录到日志以后那，我要采取的措施是什么？4：我们所有的账户要求设定密码输入三次错误以后要求进行锁定，所以才出现现在这问题，而且还有一个问题这个服务器的本机管理员密码被修改了，我也不知道谁干的，所以我怀疑的也是有病毒，但是扫描了以后没有发现什么情况，那针对这个密码被修改的要如何处理

追答

1.域控制器上啊 domain admins 组成员 开始-运行 gpmc.msc 默认的域策略
2.一样的
3.找到中毒的客户端电脑 锁定的次数可以设长一点10次左右，密码复杂性高的
4.离线可以破解管理员密码的，域控制器也是如此。物理性的接触没有安全性可言。

追问

也就是说目前我的域控服务器的安全评很差，因为这台服务器没有安装防火墙，所以这个一直是个问题，我一直怀疑的是因为密码错误，所以会经常出现锁定的问题，如果要解决其他账户被锁定的问题是否要找回本机管理员的密码？

Answer 2

xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Answer 3

　　不排除被黑的可能。查杀一次很有必要。
　　也有可能是磁盘问题，检查一下吧。

Answer 4

M 我Q 吧 8828254