¿Hay alternativas a Sysinternals ADInsight?

Había estado usando ADInsight de Sysinternals para rastrear llamadas de Active Directory desde mi estación de trabajo, pero la aplicación ha fallado.

Donde anteriormente se rastreaban y registraban los eventos de Active Directory, ahora la ventana permanece en blanco, ya sea que la aplicación esté en modo de captura o no. Me he ejecutado como Administrador, reinicié, descargué una nueva versión; ninguna de esas acciones ha devuelto el programa a un estado funcional.

Los foros de Sysinternals no ofrecen mucha esperanza, ya que se sabe que esta herramienta falla con frecuencia.

¿Hay alguna herramienta que tenga una funcionalidad similar?

Preguntas

¿La herramienta falla cuando se ejecuta desde otra estación de trabajo con su cuenta? si

¿Falla desde su (y / o) otra estación de trabajo usando la cuenta de otra persona? si

¿Hay algo en el registro de eventos de su estación de trabajo? No

Existen problemas conocidos con ADInsight y ya no se admite ni se desarrolla. Tiene problemas para cargar su DLL en ciertos entornos, específicamente en máquinas virtuales (consulte http://forum.sysinternals.com/adinsight-doesnt-work-hangs_topic18891.html y http://forum.sysinternals.com/adinsight-operation_topic18963.html )

La mejor solución que he encontrado es activar el registro de diagnóstico de Active Directory como se describe en http://www.activedir.org/Articles/tabid/54/articleType/ArticleView/articleId/41/Default.aspx . Básicamente, desea establecer los siguientes valores de registro:

Path: HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics\15 Field Engineering
Type: DWORD
Value: 5

Path: HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Expensive Search Results Threshold
Type: DWORD
Value: 1

Estos cambios no requieren un reinicio, pero se establecen por servidor, por lo que la implementación para un bosque / dominio completo se haría mejor a través de Preferencias de directiva de grupo. Una vez configurado, encontrará los registros resultantes en el registro de eventos del servicio de directorio en el DC. No son exactamente compatibles con el análisis, pero se pueden mezclar con algunas expresiones regulares. La mejor parte es que no requiere utilidades / código externo.

Sería negligente si no mencionara que este nivel de registro puede incurrir en una penalización de rendimiento en un DC de producción. En mi entorno de prueba, con solo dos DC que no hacen casi nada, veo ~ 10-20 eventos / minuto solo con esta configuración.

Sé que esta es una vieja pregunta, pero acabo de descubrir que a partir de Windows Vista / 2008, el cliente LDAP de Windows es compatible con ETW .

La referencia para las banderas de rastreo está aquí .

ADInsight se actualizó este año para abordar estos problemas.

Fuente: http://blogs.technet.com/b/sysinternals/archive/2015/10/27/update-autoruns-v13-5-sigcheck-v2-3-rammap-v1-4-bginfo-v4-21- sysmon-v3-11-adinsight-v1-2.aspx