Fehlerhafte Logins in Windows-Umgebungen aufspüren

				
					# Fehlerhafte Anmeldeversuche überwachen
$events = Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    ID = 4625
    StartTime = (Get-Date).AddMinutes(-15) # Letzte 15 Minuten
}

# Gruppieren nach Quell-IP
$groupedEvents = $events | Group-Object {$_.Properties[19].Value}

foreach ($group in $groupedEvents) {
    $count = $group.Count
    $sourceIP = $group.Name
    
    # Wenn mehr als 5 Fehler von der gleichen IP in 15 Minuten
    if ($count -gt 5) {
        # Prüfen, ob es sich um einen internen oder externen Computer handelt
        if ($sourceIP -match "^(10\.|192\.168\.|172\.(1[6-9]|2[0-9]|3[0-1])\.)") {
            # Interne IP - wahrscheinlich technisches Problem
            Write-Output "WARNUNG: $count fehlgeschlagene Anmeldeversuche von interner IP $sourceIP"
            # Hier könnten Sie E-Mail-Benachrichtigungen an das IT-Team senden
        } else {
            # Externe IP - möglicher Angriff
            Write-Output "ALARM: $count fehlgeschlagene Anmeldeversuche von externer IP $sourceIP"
            # Hier könnten Sie Sicherheitsalarme auslösen
        }
    }
}