ÚltimoLogin vs ÚltimoLoginTimestamp vs ÚltimoLoginData

Auditar proativamente um LastLogon, LastLogonTimeStamp e LastLogonDate no Active Directory ajudará você a entender o comportamento dos seus usuários com mais detalhes. Isso é essencial para a gestão de contas, monitoramento de segurança e conformidade.

Este blog explica a importância desses atributos, as distinções entre eles e suas contribuições para melhorias na segurança e operação.

Quais são os Atributos de Logon do Active Directory?

Os identificadores de segurança das operações no Active Directory são parâmetros fundamentais que contêm informações sobre o processo de autorização do usuário. Eles permitem que os administradores acompanhem a atividade de acesso e identifiquem problemas potenciais, como usuários que não efetuaram login por um longo período.

Por exemplo, quando uma organização precisa identificar contas que estiveram inativas por, digamos, 90 dias, ela usará o LastLogonTimeStamp. Por outro lado, investigações forenses exigem os resultados exatos do LastLogon, que registra quando um usuário fez logon em um Controlador de Domínio (DC) específico.

O que é o atributo LastLogon?

O atributo LastLogon armazena quando um usuário fez login pela última vez em um Controlador de Domínio específico. Esse atributo não é replicado, o que implica que ele está presente em cada DC como uma realização distinta. Ele possui os melhores dados de login, mas para obter informações gerais sobre o domínio, você precisa enviar uma consulta a todos os DCs.

O principal benefício que pode ser derivado do atributo LastLogon é que ele é muito preciso. Mas isso não é suportado em todos os DCs e, portanto, é um pouco complicado para os administradores que lidam com grandes ambientes. Caso uma organização tenha cinco DCs diferentes, todos os cinco vão preservar seu LastLogon específico para um usuário.

Usando PowerShell para Consultar ÚltimoLogon

Para obter o Último Acesso de um usuário em todos os Controladores de Domínio (DCs), você pode usar o PowerShell. Este script busca e agrega os dados:

$Username="john.doe"
$DCs=Get-ADDomainController -Filter *
$LastLogonResults=foreach ($DC in $DCs) {
Get-ADUser -Server $DC.HostName -Identity $Username -Properties LastLogon |
Select-Object @{Name="ControladorDeDominio";Expression={$DC.HostName}},
@{Name="ÚltimoAcesso";Expression={[DateTime]::FromFileTime($_.LastLogon)}}
}
$LastLogonResults | Sort-Object ÚltimoAcesso -Descending


Este script consulta todos os DCs para o atributo LastLogon do usuário, retorna os resultados e os classifica por data.

O que é o atributo LastLogonTimeStamp?

O atributo LastLogonTimeStamp fornece uma visão a nível de domínio da atividade de login. Ao contrário do LastLogon, este atributo é atualizado em todos os DCs e, portanto, os dados estão disponíveis em todos os DCs para uso administrativo. No entanto, ele é atualizado com pouca frequência: o valor padrão para esta coluna é 0, o que se traduz em uma atualização apenas se o último login do usuário foi há 14 dias ou mais.

Este atributo equaliza o tráfego na replicação e utilidade. É fácil rastrear as contas inativas e, basicamente, ajuda na auditoria, mas tem uma frequência de atualizações menor, portanto, não é confiável para rastrear logins com um alto nível de precisão.

Modificando a Frequência de Atualização

Os administradores podem ajustar o intervalo padrão de 14 dias modificando o atributo ms-DS-Logon-Time-Sync-Interval no Active Directory. Por exemplo, para mudar o intervalo para 7 dias, use o seguinte comando PowerShell:

Set-ADObject -Identity "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=seudominio,DC=com" -Partition "CN=Configuration,DC=seudominio,DC=com" -Add @{msDS-LogonTimeSyncInterval=7}


Esse ajuste permite atualizações mais frequentes, fornecendo dados de logon relativamente atuais, enquanto ainda minimiza o tráfego de replicação.

O que é o atributo LastLogonDate?

O atributo LastLogonDate permanece como uma versão amigável para humanos do atributo LastLogonTimeStamp. É a mesma informação apresentada em um formato utilizável pelo corpo para interpretá-la conforme necessário.

Quando é usado, é ideal para administradores que desejam informações gerais sobre as ações dos usuários sem converter carimbos de data/hora brutos. Semelhante ao LastLogonTimeStamp, também é copiado em todos os outros DCs.

Buscando a ÚltimaDataDeLogin com PowerShell

Para recuperar a LastLogonDate de um usuário:

Get-ADUser -Identity "john.doe" -Properties LastLogonDate |
Select-Object Name, LastLogonDate


Este comando exibe o nome de usuário e a data do seu último login em um formato simples, auxiliando revisões rápidas.

Diferenças Chave Entre LastLogon, LastLogonTimeStamp e LastLogonDate

Importância do Rastreamento de Atributos de Logon

1. Identificando Contas Inativas– A conta fria é uma grande ameaça à segurança porque é sempre reaberta por atacantes. Atributos de login são usados para rastrear indivíduos e tomar decisões rápidas sobre contas de pessoas desativadas, já que não estão mais em uso.
2. Detectando Atividades Suspeitas – Um logon anômala ao sistema, especialmente tarde da noite ou cedo pela manhã, pode ser um sinal de contas abusadas. Alguns atributos, como LastLogon, salvam detalhes das sessões de logon, ajudando os administradores a estudar um determinado evento e sua ocorrência para verificar casos suspeitos do evento.
3. Apoio à Conformidade– Diversas leis como o Regulamento Geral sobre a Proteção de Dados (GDPR) e a Lei de Portabilidade e Responsabilidade de Seguro de Saúde (HIPAA) exigem que o uso do aplicativo pelos usuários seja supervisionado. As empresas costumam usar atributos de login como uma parte importante da trilha de auditoria para permanecerem em conformidade.
4. Racionalizando Auditorias– A auditoria se torna mais fácil quando dados como LastLogonDate estão centralizados e legíveis. Isso facilita para os administradores entenderem tendências e padrões, melhorando assim a eficiência e reduzindo o nível de complexidade.

Como a Lepide Pode Ajudar

O Lepide Active Directory Auditor fornece visibilidade em tempo real sobre a atividade dos usuários e eventos de logon em todo o seu domínio, permitindo uma resposta imediata a preocupações de segurança e anomalias. Ao monitorar continuamente as atividades de autenticação, os administradores podem identificar e investigar rapidamente padrões suspeitos ou tentativas de acesso não autorizadas à medida que ocorrem, em vez de descobri-los durante auditorias rotineiras. A solução de Limpeza do Active Directory da Lepide ajuda a reduzir a superfície de ataque, identificando e desabilitando contas de usuário inativas, minimizando o risco de acesso não autorizado.

Além do monitoramento em tempo real e detecção de ameaças, o Lepide oferece alertas personalizáveis e suporte abrangente para conformidade. Os administradores podem configurar alertas para cenários de segurança específicos, como tentativas de login falhadas, acessos fora do horário ou padrões de atividade incomuns. As capacidades detalhadas de registro e relatórios do sistema armazenam dados históricos e geram trilhas de auditoria que demonstram conformidade com padrões de segurança e regulamentações do setor. Ao aproveitar as soluções do Lepide, as organizações podem obter uma visão abrangente de seu ambiente Active Directory, melhorar sua postura de segurança, garantir conformidade e aumentar a eficiência geral de TI.

Pronto para assumir o controle da segurança do seu Active Directory? Agende uma demonstração personalizada hoje para ver como a Lepide pode ajudá-lo a monitorar atividades de login, detectar ameaças de segurança e manter a conformidade em seu ambiente do Active Directory.

Perguntas Frequentes

P. Por que o LastLogonTimeStamp não é atualizado após cada logon?

Para minimizar o tráfego de replicação, as atualizações do LastLogonTimeStamp são projetadas para ocorrer com pouca frequência, tipicamente a cada 14 dias, a menos que configurado de outra forma.

P. Como posso recuperar o horário de último logon mais preciso para um usuário?

Consultar o atributo LastLogon em todos os Controladores de Domínio e usar o timestamp mais recente.

P. Posso modificar a frequência de atualização do atributo LastLogonTimeStamp?

Sim, a frequência de atualização pode ser ajustada modificando o atributo ms-DS-Logon-Time-Sync-Interval na configuração do domínio.

P. O LastLogonDate está disponível por padrão no Active Directory?

Sim, o LastLogonDate é um atributo calculado disponível por padrão, fornecendo um formato legível por humanos do LastLogonTimeStamp.