Cette méthode permet de remonter du compte verrouillé jusqu’au poste, service ou équipement utilisant un ancien mot de passe.
Étapes
- Trouver 4740 — Repérez Caller Computer Name sur le contrôleur de domaine.
- Analyser la source — Cherchez les 4625 correspondants.
- Inventorier — Vérifiez services, tâches, sessions RDP, lecteurs et appareils mobiles.
- Corriger puis surveiller — Mettez à jour le secret et vérifiez l’absence de nouveau verrouillage.
Commandes utiles
Get-WinEvent -FilterHashtable @{LogName='Security';Id=4740}À retenir
- Un compte de service mérite une fenêtre de changement contrôlée.
- La source peut être un appareil oublié.
À consulter : Event ID 4740.