Existem alternativas para o Sysinternals ADInsight?

Eu estava usando o ADInsight da Sysinternals para rastrear chamadas do Active Directory da minha estação de trabalho, mas o aplicativo falhou.

Onde anteriormente os eventos do Active Directory foram rastreados e registrados, agora a janela permanece em branco, esteja o aplicativo no modo de captura ou não. Corri como administrador, reiniciei, baixei uma nova versão; nenhuma dessas ações retornou o programa a um estado funcional.

Os fóruns da Sysinternals não oferecem muita esperança, pois é sabido que essa ferramenta falha frequentemente.

Existe ferramenta que tenha funcionalidade semelhante?

Questões

A ferramenta falha quando é executada em outra estação de trabalho com sua conta? sim

Falha na sua (e / ou) outra estação de trabalho usando a conta de outra pessoa? sim

Existe algo no log de eventos da sua estação de trabalho? Não

Existem problemas conhecidos com o ADInsight e ele não é mais suportado ou desenvolvido. Há problemas ao carregar sua DLL em determinados ambientes, especificamente em VMs (consulte http://forum.sysinternals.com/adinsight-doesnt-work-hangs_topic18891.html e http://forum.sysinternals.com/adinsight-operation_topic18963.html )

A melhor solução que encontrei é ativar o Log de diagnóstico do Active Directory, conforme descrito em http://www.activedir.org/Articles/tabid/54/articleType/ArticleView/articleId/41/Default.aspx . Basicamente, você deseja definir os seguintes valores do registro:

Path: HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics\15 Field Engineering
Type: DWORD
Value: 5

Path: HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\Expensive Search Results Threshold
Type: DWORD
Value: 1

Essas alterações não requerem reinicialização, mas são definidas por servidor, portanto, a implementação de uma floresta / domínio inteira seria melhor através das Preferências de Diretiva de Grupo. Depois de definido, você encontrará os logs resultantes no log de eventos do Serviço de Diretório no controlador de domínio. Eles não são exatamente compatíveis com análise, mas podem ser discutidos com algumas expressões regulares. A melhor parte é que não requer utilitários externos / código.

Eu seria negligente se não mencionasse que esse nível de registro pode incorrer em uma penalidade de desempenho em um controlador de domínio de produção. No meu ambiente de teste, com apenas dois controladores de domínio fazendo quase nada, vejo ~ 10 a 20 eventos / minuto nessa configuração.

Sei que essa é uma pergunta antiga, mas acabei de descobrir que, a partir do Windows Vista / 2008, o cliente LDAP do Windows suporta ETW .

A referência para os sinalizadores de rastreamento está aqui .

O ADInsight foi atualizado este ano para solucionar esses problemas.

Fonte: http://blogs.technet.com/b/sysinternals/archive/2015/10/27/update-autoruns-v13-5-sigcheck-v2-3-rammap-v1-4-bginfo-v4-21- sysmon-v3-11-adinsight-v1-2.aspx