web-dev-qa-db-ja.com

Windows Server 2012で4625イベントIDのソースを見つける方法

イベントログにイベントID 4625とログオンタイプ3の監査失敗が多数あります。

この問題は私のサーバー(内部サービスまたはアプリケーション)からのものですか?それともブルートフォース攻撃ですか?最後に、このログインのソースを見つけて問題を解決するにはどうすればよいですか?

これは一般タブの詳細情報です:

An account failed to log on.

Subject:
    Security ID:        NULL SID
    Account Name:       -
    Account Domain:     -
    Logon ID:       0x0

Logon Type:         3

Account For Which Logon Failed:
    Security ID:        NULL SID
    Account Name:       aaman
    Account Domain:     

Failure Information:
    Failure Reason:     Unknown user name or bad password.
    Status:         0xC000006D
    Sub Status:     0xC0000064

Process Information:
    Caller Process ID:  0x0
    Caller Process Name:    -

Network Information:
    Workstation Name:   test2
    Source Network Address: -
    Source Port:        -

Detailed Authentication Information:
    Logon Process:      NtLmSsp 
    Authentication Package: NTLM
    Transited Services: -
    Package Name (NTLM only):   -
    Key Length:     0

**And this is detailed information in Detail Tab:**

+ System 

  - Provider 

   [ Name]  Microsoft-Windows-Security-Auditing 
   [ Guid]  {54849625-5478-4994-A5BA-3E3B0328C30D} 

   EventID 4625 

   Version 0 

   Level 0 

   Task 12544 

   Opcode 0 

   Keywords 0x8010000000000000 

  - TimeCreated 

   [ SystemTime]  2015-05-09T06:57:00.043746400Z 

   EventRecordID 2366430 

   Correlation 

  - Execution 

   [ ProcessID]  696 
   [ ThreadID]  716 

   Channel Security 

   Computer WIN-24E2M40BR7H 

   Security 


- EventData 

  SubjectUserSid S-1-0-0 
  SubjectUserName - 
  SubjectDomainName - 
  SubjectLogonId 0x0 
  TargetUserSid S-1-0-0 
  TargetUserName aaman 
  TargetDomainName  
  Status 0xc000006d 
  FailureReason %%2313 
  SubStatus 0xc0000064 
  LogonType 3 
  LogonProcessName NtLmSsp  
  AuthenticationPackageName NTLM 
  WorkstationName test2 
  TransmittedServices - 
  LmPackageName - 
  KeyLength 0 
  ProcessId 0x0 
  ProcessName - 
  IpAddress - 
  IpPort - 

私がここで見つけた実用的な解決策: https://github.com/DigitalRuby/IPBan

Windows Server 2008または同等のものでは、NTLMログインを無効にし、NTLM2ログインのみを許可する必要があります。 Windows Server 2008では、NTLMログインのIPアドレスを取得する方法はありません。 secpol->ローカルポリシー->セキュリティオプション->ネットワークセキュリティを使用して、ntlm着信ntlmトラフィックを制限します->すべてのアカウントを拒否します。

RUのバージョンで:Локальнаяполитикабезопасности - >Локальныеполитики - >Параметрыбезопасности - >Сетеваябезопасность:ограниченияNTLM:входящийтрафикNTLM - >Запретитьвсеучетныезаписи

3
Igor Ostroumov

サーバーで同じタイプのイベントが発生しました。さまざまなユーザー名で何百回もログインが試行されましたが、プロセスIDまたはIPアドレスは表示されませんでした。

私はそれがネットワークレベルの認証なしのインターネット上のRDP接続から来ていたと確信しています。

3
alphanimal

これらはハック攻撃です。攻撃者の目標は、サーバーのアカウント/パスワードを総当たりすることです。

簡単な侵入検知システム(IDS)をインストールすることをお勧めします。 RDPGuard(商用)、IPBan、evlWatcherを検討することをお勧めします。私自身はCyber​​arms IDDSを使用しています。これはシンプルで、使いやすいインターフェイスを備えています(ただし、.NET Framework 4.0が必要です)。

考え方は簡単です。IDSは、サーバーのセキュリティログを監視して、不審なログオン失敗イベントを検出します。次に、IPアドレスをソフトロックします。ソフトロックされたIPからの試行が続く場合は、ハードロックを構成することもできます。

1

このイベントは通常、古くなった非表示の資格情報が原因で発生します。エラーが発生したシステムからこれを試してください:

コマンドプロンプトから:psexec -i -s -d cmd.exe
新しいcmdウィンドウから次を実行:rundll32 keymgr.dll,KRShowKeyMgr

保存されているユーザー名とパスワードのリストに表示されている項目をすべて削除します。コンピュータを再起動します。

0
zea62

これが発生したときに、ドメインコントローラーがシャットダウンされていましたか?これは、この記事で説明したシナリオと非常によく似ています。

https://support.Microsoft.com/en-us/kb/2683606

Windowsがシャットダウン状態になると、DCに対して認証を試みる新しいクライアントに、別のDCに接続する必要があることを通知します。ただし、DCは、ユーザーが存在しないことをクライアントに返信します。これにより、ドメインコントローラのシャットダウンが最終的に終了し、クライアントが強制的にDCを切り替えるまで、認証エラーが繰り返し発生します。

この記事で提案する解決策は、サーバーをシャットダウンする前に、ドメインコントローラーのnetlogonサービスを停止することです。これにより、シャットダウン状態に入る前に認証に使用できなくなり、クライアントに強制的に新しいDCを検出させます。

0
brassmaster