Id sự kiện 4625 không có IP nguồn

Chúng tôi đang sử dụng tổng cộng 7 Phiên bản tiêu chuẩn R2 của Windows Server (2008/2012) cho các môi trường phát triển và sản xuất. Tháng trước máy chủ của chúng tôi đã bị xâm nhập và chúng tôi đã tìm thấy nhiều nhật ký thử thất bại trong trình xem sự kiện của windows. Chúng tôi đã thử IDDS trên mạng nhưng nó không được chứng minh là tốt trước đó.

Bây giờ chúng tôi đã tái tạo lại tất cả các máy chủ của mình và đổi tên thành tài khoản Quản trị viên / khách. Và sau khi thiết lập lại máy chủ, chúng tôi đang sử dụng idds này để phát hiện và chặn các địa chỉ IP không mong muốn.

IDDS đang hoạt động tốt nhưng chúng tôi vẫn nhận được 4625 sự kiện trong trình xem sự kiện mà không có bất kỳ địa chỉ IP nguồn nào. Làm cách nào tôi có thể chặn các yêu cầu này từ các địa chỉ IP ẩn danh?

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'>
  <System>
    <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
    <EventID>4625</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime='2015-04-18T15:18:10.818780700Z'/>
    <EventRecordID>187035</EventRecordID>
    <Correlation/>
    <Execution ProcessID='24876' ThreadID='133888'/>
    <Channel>Security</Channel>
    <Computer>s17751123</Computer>
    <Security/>
  </System>
  <EventData>
    <Data Name='SubjectUserSid'>S-1-0-0</Data>
    <Data Name='SubjectUserName'>-</Data>
    <Data Name='SubjectDomainName'>-</Data>
    <Data Name='SubjectLogonId'>0x0</Data>
    <Data Name='TargetUserSid'>S-1-0-0</Data>
    <Data Name='TargetUserName'>aaron</Data>
    <Data Name='TargetDomainName'>\aaron</Data>
    <Data Name='Status'>0xc000006d</Data>
    <Data Name='FailureReason'>%%2313</Data>
    <Data Name='SubStatus'>0xc0000064</Data>
    <Data Name='LogonType'>3</Data>
    <Data Name='LogonProcessName'>NtLmSsp </Data>
    <Data Name='AuthenticationPackageName'>NTLM</Data>
    <Data Name='WorkstationName'>SSAWSTS01</Data>
    <Data Name='TransmittedServices'>-</Data>
    <Data Name='LmPackageName'>-</Data>
    <Data Name='KeyLength'>0</Data>
    <Data Name='ProcessId'>0x0</Data>
    <Data Name='ProcessName'>-</Data>
    <Data Name='IpAddress'>-</Data>
    <Data Name='IpPort'>-</Data>
  </EventData>
</Event>

CẬP NHẬT: Sau khi kiểm tra nhật ký tường lửa của tôi, tôi nghĩ rằng 4625 sự kiện này không liên quan đến Rdp, nhưng có thể là SSH hoặc bất kỳ nỗ lực nào khác mà tôi không quen thuộc

Địa chỉ IP cho các lần thử RDP không thành công được ghi lại ở đây ngay cả khi đã bật NLA (không yêu cầu chỉnh sửa) (đã thử nghiệm trên Server 2012 R2, không chắc chắn về các phiên bản khác)

Nhật ký ứng dụng và dịch vụ> Microsoft-Windows-RemoteDesktopService-RdpCoreTS / Toán tử (ID sự kiện 140)

Ví dụ văn bản đã ghi:

Kết nối từ máy khách có địa chỉ IP 108.166.xxx.xxx không thành công do tên người dùng hoặc mật khẩu không chính xác.

XML:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-RemoteDesktopServices-RdpCoreTS" Guid="{1139C61B-B549-4251-8ED3-27250A1EDEC8}" /> 
  <EventID>140</EventID> 
  <Version>0</Version> 
  <Level>3</Level> 
  <Task>4</Task> 
  <Opcode>14</Opcode> 
  <Keywords>0x4000000000000000</Keywords> 
  <TimeCreated SystemTime="2016-11-13T11:52:25.314996400Z" /> 
  <EventRecordID>1683867</EventRecordID> 
  <Correlation ActivityID="{F4204608-FB58-4924-A3D9-B8A1B0870000}" /> 
  <Execution ProcessID="2920" ThreadID="4104" /> 
  <Channel>Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational</Channel> 
  <Computer>SERVER</Computer> 
  <Security UserID="S-1-5-20" /> 
  </System>
- <EventData>
  <Data Name="IPString">108.166.xxx.xxx</Data> 
  </EventData>
  </Event>

Đây là một hạn chế đã biết với kết nối 4625 sự kiện và RDP sử dụng TLS / SSL. Bạn sẽ cần sử dụng mã hóa RDP cho cài đặt máy chủ từ xa hoặc nhận được sản phẩm IDS tốt hơn.

Bạn nên sử dụng Windows Firewall tích hợp và cài đặt ghi nhật ký của nó. Nhật ký sẽ cho bạn biết địa chỉ IP của tất cả các lần thử kết nối đến. Vì bạn đã đề cập rằng tất cả các máy chủ của bạn đều phải đối mặt với internet, nên thực sự không có lý do gì để không sử dụng Tường lửa Windows như một phần trong chiến lược chuyên sâu của bạn. Tôi đặc biệt khuyên bạn không nên tắt NLA (xác thực cấp mạng) vì nhiều cuộc tấn công vào RDP trong quá khứ đã được giảm nhẹ bằng cách sử dụng NLA và chỉ các máy chủ phiên RDP bị ảnh hưởng chỉ chạy mã hóa RDP cổ điển.

Sự kiện này thường được gây ra bởi một thông tin ẩn cũ. Hãy thử điều này từ hệ thống đưa ra lỗi:

Từ một dấu nhắc lệnh chạy: psexec -i -s -d cmd.exe
Từ cửa sổ cmd mới chạy: rundll32 keymgr.dll,KRShowKeyMgr

Xóa mọi mục xuất hiện trong danh sách Tên người dùng và mật khẩu được lưu trữ. Khởi động lại máy tính.