Saya memiliki sistem Windows Server 2008 R2 yang memperlihatkan ribuan 4625 kesalahan Logon Failure dengan Logon Type 8 (NetworkCleartext) di bagian Keamanan Windows Logs setiap hari. Tidak ada alamat IP dari sistem yang mencoba untuk mendapatkan akses yang tercantum dalam Alamat Jaringan Sumber, jadi skrip yang saya buat untuk memblokir IP yang gagal terlalu sering tidak dapat menemukannya.
Layanan apa yang bisa berasal dari upaya login ini?
Berikut adalah contoh salah satunya:
An account failed to log on.
Subject:
Security ID: SYSTEM
Account Name: server-name$
Account Domain: example
Logon ID: 0x3e7
Logon Type: 8
Account For Which Logon Failed:
Security ID: NULL SID
Account Name: Administrator
Account Domain:
Failure Information:
Failure Reason: Unknown user name or bad password.
Status: 0xc000006d
Sub Status: 0xc0000064
Process Information:
Caller Process ID: 0x4d0
Caller Process Name: C:\Windows\System32\svchost.exe
Network Information:
Workstation Name: system-name
Source Network Address: -
Source Port: -
Detailed Authentication Information:
Logon Process: Advapi
Authentication Package: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
This event is generated when a logon request fails. It is generated on the computer where access was attempted.
The Subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.
The Logon Type field indicates the kind of logon that was requested. The most common types are 2 (interactive) and 3 (network).
The Process Information fields indicate which account and process on the system requested the logon.
The Network Information fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.
The authentication information fields provide detailed information about this specific logon request.
- Transited services indicate which intermediate services have participated in this logon request.
- Package name indicates which sub-protocol was used among the NTLM protocols.
- Key length indicates the length of the generated session key. This will be 0 if no session key was requested.
windows-server-2008
windows-server-2008-r2
log-files
windows-event-log
brute-force-attacks
kevinmicke
sumber
sumber
Jawaban:
Ada beberapa sumber info masuk yang mungkin menghasilkan kesalahan ini:
Angka 2 dan 3 disebutkan di WindowsSecurity.com :
sumber
Saya akan menjalankan
netstat -a -n | find "1232"
untuk melihat apa proses port ID (PID) 1232 mendengarkan. Itu PID yang menghasilkan kegagalan otentikasi ini. Anda dapat mengendus lalu lintas yang masuk pada port tersebut untuk melacak sumbernya.(Saya mengalami kesulitan membuat layanan yang berjalan dalam-proses dengan
svchost.exe
dan mendengarkan otentikasi. Hampir terasa pihak ketiga bagi saya ...)sumber
The logon tipe 8 terjadi ketika password yang dikirim melalui jaringan dalam bentuk teks . Otentikasi dasar di IIS adalah penyebab yang paling mungkin untuk kegagalan login semacam ini. Adapun yang saya tahu ada lima layanan berbasis Microsoft IIS yang umum digunakan dengan Otentikasi Dasar oleh pengguna akhir baik melalui Desktop atau perangkat Mobile mereka , seperti klien OWA , MS Exchange ActiveSync , Outlook Anywhere , klien FTP dan server SharePoint .
Ketika seorang pengguna akhir menghubungkan klien OWA diaktifkan otentikasi dasar dari desktop-pc / perangkat mobile mereka dengan kata sandi yang salah, peristiwa 4625 dengan tipe logon 8 akan login di Exchange Server yang menjadi tuan rumah OWA.
Lihat artikel ini: http://www.morgantechspace.com/2014/12/Find-Account-Lockout-Source-for-Logon-Type-8.html
sumber