Найдите сетевой диск, программу или артефакт, вызвавшие неудачный вход в систему

Я пытаюсь привести в порядок ситуацию с активным каталогом в сети. Одна существующая проблема заключается в том, что учетная запись пользователя делает большое количество попыток входа в систему (500) на контроллер домена и неверный пароль.

Я использую различные инструменты, такие как ADAudit Plus, который показывает мне имя пользователя, IP-адрес и контроллер домена для попытки входа в систему. Я вхожу в систему, и нет подключенного диска, нет сетевого диска, нет приложения, которое я вижу, которое пытается войти в систему с этой машины. Мой вопрос в том, есть ли способ лучше определить местонахождение оскорбительного артефакта, чтобы уменьшить это большое количество неудачных запросов на вход?

С уважением

Найдите событие с идентификатором 5625.

Событие 4625 генерируется при сбое запроса на вход и создается на компьютере где была попытка доступа.

Поля «Тема» указывают учетную запись в локальной системе, которая запросила вход (возможно, 0x0). Чаще всего это служба, такая как служба (SMB-) сервера, или локальный процесс, такой как Winlogon или службы.

В поле «Тип входа» указывается тип запрошенного входа. Наиболее распространенные типы:

• 0 (учетная запись «локальная система», обычно используемая локальными службами)
• 2 (интерактивный)
• 3 (сеть)

Поля «Информация о процессе» указывают, какая учетная запись и процесс в системе запросили вход в систему (или имеют 0x0 как указание на «локальную службу»). «Длина ключа» указывает длину сгенерированного сеансового ключа. Это будет 0, если сеансовый ключ не был запрошен (что указывает на то, что локальная служба неправильно использует учетные данные локальной службы).