如何使用 EventCombMT 实用工具在事件日志中搜索帐户锁定

本文介绍如何使用 EventCombMT 实用工具 (EventCombmt.exe) 在多台计算机的事件日志中搜索帐户锁定。

适用于： Windows Server 2012 R2
原始 KB 编号： 824209

更多信息

EventCombMT 是一种多线程工具，可用于在多个不同计算机的事件日志中搜索特定事件，所有这些事件都来自一个中心位置。 可以将 EventCombMT 配置为以非常详细的方式搜索事件日志。

下面是一些可以指定的搜索参数：

• 单个事件 ID
• 多个事件 ID
• 事件 ID 的范围
• 事件源
• 特定事件文本
• 需要扫描的分钟数、小时数或天数

某些特定搜索类别是内置的，例如帐户锁定。 帐户锁定搜索已预先配置为包含事件 ID 529、644、675、676 和 681。 此外，可以添加事件 ID 12294 来搜索针对管理员帐户的潜在攻击。

若要下载 EventCombMT 实用工具，请下载 帐户锁定和管理工具。 EventCombMT 实用工具包含在帐户锁定和管理工具下载 (ALTools.exe) 中。

若要在事件日志中搜索帐户锁定，请执行以下步骤：

1. 启动 EventCombMT。

2. 在 “选项 ”菜单上，单击“ 设置输出目录”，选择现有文件夹，或单击“ 新建文件夹 ”以创建一个新文件夹以保存输出，然后单击“ 确定”。

   注意

   如果未指定输出目录，则默认位置为 C：\Temp。

3. 在 “搜索 ”菜单上，指向“ 内置搜索”，然后单击“ 帐户锁定”。

   域的所有域控制器都显示在 “选择搜索/右键单击以添加 ”框中。 此外，在“ 事件 ID ”框中，可以看到添加了事件 ID 529、644、675、676 和 681。

4. 在“ 事件 ID ”框中，键入空格，然后在最后一个事件编号后键入 12294 。

5. 在 “选项” 菜单中，选择“ 设置日期范围”。

6. 在“ 发件人 ”框中，选择开始日期和时间。

7. 在“ 到 ”框中，选择结束日期和时间，然后单击“ 确定”。

8. 单击"搜索"。

9. 若要搜索其他计算机 (非域控制器) 帐户锁定事件，请右键单击“ 选择搜索/右键单击以添加 ”框，然后单击“ 从列表中删除所选服务器”。 若要添加要搜索的计算机，请右键单击“ 选择搜索/右键单击以添加 ”框，然后单击其中一个选项。 例如，若要一次添加一台计算机，请单击“ 添加单一服务器”。 单击要搜索的一个或多个服务器，然后单击“ 搜索”。

查询完成后，可以在步骤 2 中指定的输出目录中查看搜索结果。 还可以将文件导入 Microsoft Excel。 或者，如果有非常大的输出文件，可以将信息导入到SQL Server数据库中，并使用查询来评估信息。

有关 EventCombMT 实用工具的详细信息，请参阅该工具附带的帮助文件。