我们的域包含大约15台服务器和大约30个工作站。服务器主要是2008r2，工作站主要是Windows7。两个DC是2012r2。每隔几周，我们的一个管理员帐户就会被锁定。我正在尝试缩小原因，但已经走到了尽头。
这就是我所拥有的。
PDC上的事件日志显示事件4776-审核成功：
Authentication Package: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
Logon Account: username
Source Workstation:
Error Code: 0x0
所有都使用相同的用户名，并且每秒重复出现几次。
根据事件ID，这些是NTLM登录名而不是Kerberos。尽管使用的身份验证类型对我来说不像剪切数量那么令人担忧。这种情况每秒发生几次，并且无限制地每隔几秒钟重复一次，无论是白天，晚上还是周末。
事件日志还显示此用户名的审核成功事件ID 4624（登录）和4634（注销），但是与“ Workstation”字段上方的事件相同。
我启用了详细的netlogon日志记录，并且netlogon.log显示
02/28 17:11:03 [LOGON] [2044] domain: SamLogon: Transitive Network logon of domain\username from (via workstation1) Entered
02/28 17:11:03 [LOGON] [2044] domain: SamLogon: Transitive Network logon of domain\username from (via workstation1) Returns 0x0
02/28 17:11:04 [LOGON] [2044] domain: SamLogon: Transitive Network logon of domain\username from (via workstation2) Entered
02/28 17:11:04 [LOGON] [2044] domain: SamLogon: Transitive Network logon of domain\username from (via workstation2) Returns 0x0
02/28 17:11:19 [LOGON] [8468] domain: SamLogon: Transitive Network logon of domain\username from (via server1) Entered
02/28 17:11:19 [LOGON] [8468] domain: SamLogon: Transitive Network logon of domain\username from (via server1) Returns 0x0
02/28 17:11:19 [LOGON] [8468] domain: SamLogon: Transitive Network logon of domain\username from (via server2) Entered
02/28 17:11:19 [LOGON] [8468] domain: SamLogon: Transitive Network logon of domain\username from (via server2) Returns 0x0
02/28 17:11:19 [LOGON] [2044] domain: SamLogon: Transitive Network logon of domain\username from (via workstation3) Entered
02/28 17:11:19 [LOGON] [2044] domain: SamLogon: Transitive Network logon of domain\username from (via workstation3) Returns 0x0
02/28 17:11:19 [LOGON] [2044] domain: SamLogon: Transitive Network logon of domain\username from (via workstation2) Entered
02/28 17:11:19 [LOGON] [2044] domain: SamLogon: Transitive Network logon of domain\username from (via workstation2) Returns 0x0
02/28 17:11:19 [LOGON] [5476] domain: SamLogon: Transitive Network logon of domain\username from (via workstation4) Entered
02/28 17:11:19 [LOGON] [8468] domain: SamLogon: Transitive Network logon of domain\username from (via workstation5) Entered
02/28 17:11:19 [LOGON] [5476] domain: SamLogon: Transitive Network logon of domain\username from (via workstation4) Returns 0x0
02/28 17:11:19 [LOGON] [8468] domain: SamLogon: Transitive Network logon of domain\username from (via workstation5) Returns 0x0
02/28 17:11:20 [LOGON] [5476] domain: SamLogon: Transitive Network logon of domain\username from (via server3) Entered
02/28 17:11:20 [LOGON] [5476] domain: SamLogon: Transitive Network logon of domain\username from (via server3) Returns 0x0
02/28 17:11:20 [LOGON] [5476] domain: SamLogon: Transitive Network logon of domain\username from (via server4) Entered
02/28 17:11:20 [LOGON] [5476] domain: SamLogon: Transitive Network logon of domain\username from (via server4) Returns 0x0
等等等等。这些登录信息的明显来源（通过XYZ）可能包括来自网络的工作站和服务器。
显然，这看起来像自动化或脚本。由于登录通常都是成功的，因此我认为这不是入侵尝试。但是，有些登录有时会失败，但是我没有发现失败的任何模式，并且这种登录的发生频率极低，以至于（大多数情况下）它们不会将帐户锁定。存在一个的失败代码通常为0xc0000022（访问被拒绝）
我已从其中一台服务器禁用并卸载了远程监控代理（当前为Kaseya，但我们最终将迁移到LabTech），但是仍然看到源自该服务器的新事件，因此这排除了自动化任务。我还检查了几台服务器上的任务计划程序，没有发现任何异常。我已经检查了服务以验证登录帐户，并且该帐户未在任何服务中使用。
我在Netstat上运行了很长一段时间，主要看到了从“系统”和“系统空闲过程”到PDC的连接。我确实偶尔看到了来自spoolsrv和lsass和ismserv的连接（我正在测试的服务器是Citrix XenApp服务器，但是其他“源”服务器不在XenApp场中，当然“源”工作站也不在）。我停止了后台打印程序服务只是为了进行测试，它对登录事件没有任何影响。
我在MSP工作，这是我们的主要技术人员dom admin帐户，因此，确保它能够正常工作和安全是当务之急。我剩下的最后一个想法是更改密码，看看有什么破解，但不知道为此使用的帐户可能会带来灾难性的后果。但是，我怀疑这可能只是配置错误的广告。
有没有人曾经经历过类似的事情并且能够确定来源？