如何识别谁/什么使用 Windows 2003 服务器？

Question

如何确定 Windows 2003 服务器是否仍在被任何人/事物使用，如果是，它的用途是什么？

除了事件查看器以查看哪些帐户正在连接到服务器之外，我还对其他要检查的内容留了空白。

Answer 1

这不是一个愚蠢的问题，这是一个很好的问题，我很高兴你提出这个问题。

人工过程

确保您已经查看了所有文档，与灰胡子交谈过，并获得了业务人员的认可。

获取完整备份；标记媒体以供长期存档。运行连接监视器或数据包嗅探器一段时间以查看仍在进行的连接。检查服务以查看是否有任何听起来重要/熟悉的内容。

比关闭电源更好的主意 - 拔掉网络电缆几天。如果它是一台旧的物理机器，您不想冒险需要重新启动它但磁盘轴被冻结的情况。让它们旋转。

权威来源 - 我花了一年多的时间为一家财富 25 强制药公司停用旧服务器。这就是过程，它奏效了。

只是一个数据包嗅探器**将**找到流量的附录。网络上的任何主机总是有背景信息进出，其中一些背景信息乍一看可能看起来很重要（例如，将系统健康数据报告给某处的监控服务）。责任是冲掉所有的谷壳，看看是否还有剩余的小麦。 (18认同)
我什至没想过使用数据包嗅探器，好主意。我真的很感谢你的帮助:) (6认同)
+1 切断电源线 - 绝妙的提示 (6认同)
冒着毁掉一个笑话的风险：你把谁称为灰胡子？用户？经理？技术支持人员？ (2认同)

Answer 2

关闭电源，看看谁在尖叫，以及尖叫什么。

说真的，这是最好的方法。即使检查日志也只能让您到此为止，因为您只会看到已记录的活动。

编辑：为了阻止任何进一步的评论，这个建议假设你已经做了你应该做的事情，甚至在问这里的问题之前 - 询问服务器，查找文档，并登录看看是否您可以捕捉到任何明显的活动迹象。

这还假设您不在那些显然存在的环境之一中，在这种环境中，没有人知道在硬件上运行的关键业务系统如此脆弱，以至于在启动过程中有起火或爆炸的风险。

@SumDumGuy 就像 Hyppy 说的那样，如果有人尖叫，您不必承认您将其关闭。“很奇怪，让我调查一下”通常是回应那些因为你知道你做过的事情而尖叫的人的好方法。或者至少对我来说很好*。:) (12认同)
...并删除了来自 9 个不同用户的 16 条不同评论。所有这些我都可以总结为：“有些人认为关闭服务器电源风险太大，而有些人则没有。” 如果您想对我的回答表达其中一种观点，请单击旁边的箭头之一。如果你想激怒我，请在评论中重复这些相同的观点，这样我就会收到一条通知唠叨，说第 10 个人告诉我一些我已经在几个小时内阅读了 16 次的内容。 (4认同)
@SumDumGuy 如果这是一份新工作，那么在实际做任何事情之前一定要与你的经理讨论这个问题。您可能会发现您有需要遵循的程序，或者他知道有用的东西。 (4认同)
这，这是一个真实的答案。如果有人尖叫，您不必承认您将其关闭。 (3认同)

Answer 3

对于使用 LDAP（文件共享、打印共享等）对服务器进行身份验证的用户，您可以使用 mmc 中的“共享和会话”管理单元来识别与开放会话连接的用户。这些是主动或被动（映射驱动器）连接的用户。

我找到了一篇更详细的文章。

您还可以使用诸如sysinternals TCPView 之类的软件来检查它是否有任何已安装的服务（例如 SQL 或程序），并查看是否有任何非默认的开放端口来识别正在运行的任何软件。这些开放端口可以帮助识别正在使用的协议，并且可以帮助识别服务器的用途。

最后，您可以检查已安装/正在运行的服务并确定正在运行的服务。