Esistono alternative a Sysinternals ADInsight?

Stavo usando ADInsight di Sysinternals per tracciare le chiamate di Active Directory dalla mia workstation, ma l'applicazione non è riuscita.

Dove prima venivano tracciati e registrati gli eventi di Active Directory, ora la finestra rimane vuota, indipendentemente dal fatto che l'applicazione sia in modalità di acquisizione o meno. Ho eseguito come amministratore, riavviato, scaricato una nuova versione; nessuna di queste azioni ha riportato il programma a uno stato funzionale.

I forum Sysinternals non offrono molte speranze, poiché è noto che questo strumento fallisce spesso.

Esiste uno strumento con funzionalità simili?

Domande

Lo strumento non funziona quando viene eseguito da un'altra workstation con il tuo account? sì

Non riesce dalla tua (e / o) un'altra stazione di lavoro utilizzando l'account di qualcun altro? sì

C'è qualcosa nel registro eventi della tua workstation? No

Esistono problemi noti con ADInsight e non è più supportato o sviluppato. Ha problemi a caricare la sua DLL in determinati ambienti, in particolare su VM (vedere http://forum.sysinternals.com/adinsight-doesnt-work-hangs_topic18891.html e http://forum.sysinternals.com/adinsight-operation_topic18963.html ) (link all'archivio)

La migliore soluzione che ho trovato è quella di attivare la registrazione diagnostica di Active Directory come descritto in http://www.activedir.org/Articles/tabid/54/articleType/ArticleView/articleId/41/Default.aspx (collegamento all'archivio). Fondamentalmente, si desidera impostare i seguenti valori di registro:

Path: HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics\15 Field Engineering
Type: DWORD
Value: 5

Path: HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Expensive Search Results Threshold
Type: DWORD
Value: 1

Queste modifiche non richiedono il riavvio, ma sono impostate per server, pertanto l'implementazione per un'intera foresta / dominio dovrebbe essere eseguita in modo ottimale tramite le preferenze dei criteri di gruppo. Una volta impostati, troverai i registri risultanti nel registro eventi del servizio directory sul controller di dominio. Non sono esattamente compatibili con l'analisi ma possono essere combattuti con un po 'di regex. La parte migliore è che non richiede utility / codice esterni.

Sarei negligente se non menzionassi che questo livello di registrazione potrebbe incorrere in una penalità di prestazione su un controller di produzione. Nel mio ambiente di test, con solo due DC che non fanno quasi nulla, vedo ~ 10-20 eventi / minuto solo da questa impostazione.

So che questa è una vecchia domanda, ma ho appena scoperto che a partire da Windows Vista / 2008, il client LDAP di Windows supporta ETW .

Il riferimento per i flag di tracciamento è qui .

ADInsight è stato aggiornato quest'anno per risolvere questi problemi.

Fonte: http://blogs.technet.com/b/sysinternals/archive/2015/10/27/update-autoruns-v13-5-sigcheck-v2-3-rammap-v1-4-bginfo-v4-21- Sysmon-v3-11-adinsight-v1-2.aspx