多くの失敗の監査：アカウントがセキュリティログのエントリにログオンできませんでした

Question

サーバーで多くの障害監査を受けました。ログから、原因となっている特定のマシンを特定しました。ログイン要求を送信しているプロセスを特定するにはどうすればよいですか？

あなたはそれを見つける方法について何か考えがありますか？

以下はログの詳細です。

\ QKSRVDC212のセキュリティログ：

[2465151] Microsoft-Windows-Security-Auditing

    Type:     FAILURE AUDIT 

    Computer: QKSRVDC212.Corp.abc.com

    Time:     7/26/2012 9:31:00 AM   ID:       4625 

An account failed to log on.
  Subject:
    Security ID:        S-1-0-0
    Account Name:       -
    Account Domain:     -
    Logon ID:       0x0
  Logon Type:           3

  Account For Which Logon Failed:
    Security ID:        S-1-0-0
    Account Name:       Quality
    Account Domain:     QDMNT140

  Failure Information:
    Failure Reason:     Unknown user name or bad password.
    Status:         0xc000006d
    Sub Status:     0xc0000064

  Process Information:
    Caller Process ID:  0x0
    Caller Process Name:    -

  Network Information:
    Workstation Name:   QDMNT140
    Source Network Address: 10.1.1.185
    Source Port:        3973

  Detailed Authentication Information:
    Logon Process:      NtLmSsp 
    Authentication Package: NTLM
    Transited Services: -
    Package Name (NTLM only):   -
    Key Length:     0

Answer 1

ログインソースシステム 'QDMNT140'でnetstat -ano | findstr 3973を使用して、一致するソースポート '3973'が開いているプロセスを確認します。 3973を静的でない場合は、ポートが変更されるものに置き換えます。