能否识别并追踪使用AD登录的第三方应用？求证可行性

别担心，其实是完全可以追踪使用AD登录的第三方应用的，那位管理员的说法大概率是没用到合适的工具或方法。我给你梳理几个实用的方案，帮你定位这些应用：

• 查看AD域控制器的安全事件日志
  域控制器默认会记录所有登录相关的事件，你可以重点关注几个关键事件ID：

  • 4624：成功完成登录（要注意区分登录类型，第三方应用通常用「网络登录」或「Kerberos登录」类型）
  • 4768：Kerberos身份验证请求（如果应用采用Kerberos协议对接AD）
  • 4672：带有特殊权限的登录操作
    打开域控制器的事件查看器，定位到Windows日志 -> 安全，通过筛选这些事件ID，结合日志里的「账户名」「工作站名称」「源IP地址」甚至「进程信息」，就能识别出对应的第三方应用。如果日志量太大，还可以用命令行工具快速导出分析，比如：

  wevtutil qe Security /q:"*[System[EventID=4624]]" /f:text /c:20
  

• 借助Azure AD（若已同步本地AD）
  如果你把本地AD同步到了Azure AD，直接去Azure门户的Azure AD -> 登录日志就能看到所有登录记录，包括第三方应用的登录行为。这里会清晰显示应用名称、登录用户、登录时间、来源IP等信息，排查起来非常直观。

• 使用专业AD审计工具
  要是原生日志的信息不够细致，或者你需要自动化分析，可以考虑部署专门的AD审计工具。比如微软的Microsoft Defender for Identity（原Advanced Threat Analytics），或者第三方工具如SolarWinds Access Rights Manager，它们能自动解析AD日志，识别第三方应用的登录活动，还能生成可视化的审计报表，帮你快速定位异常。

• 排查AD中的服务/应用专用账户
  很多第三方应用会使用专属的AD服务账户来完成登录验证。你可以在「AD用户和计算机」里筛选标记为「服务账户」的账号，查看它们的「最后登录时间」「登录地点」等属性，结合这些信息反向关联对应的应用。

另外要注意：如果第三方应用是通过SAML单点登录对接AD的（比如用AD FS作为身份提供商），登录事件可能会记录在AD FS的服务器日志里，而不是域控制器，这时候要去AD FS的事件查看器里找相关记录。

内容的提问来源于stack exchange，提问作者T_dog