--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

Кто-то к серверу пароли подбирает

Операционные системы
3562
53
С друзьями на NN.RU
В социальных сетях
Поделиться
-vlk-
12.12.2016
В логах постоянно появляются подобные записи. Подскажите, если в IpAddress и IpPort прочерки, что это значит?

System

- Provider

[ Name] Microsoft-Windows-Security-Auditing
[ Guid] {54849625-5478-4994-A5BA-3E3B0328C30D}

EventID 4625

Version 0

Level 0

Task 12544

Opcode 0

Keywords 0x8010000000000000

- TimeCreated

[ SystemTime] 2016-12-12T09:11:00.169760600Z

EventRecordID 91224

Correlation

- Execution

[ ProcessID] 532
[ ThreadID] 2056

Channel Security

Computer zzz.zzzz.net

Security


- EventData

SubjectUserSid S-1-0-0
SubjectUserName -
SubjectDomainName -
SubjectLogonId 0x0
TargetUserSid S-1-0-0
TargetUserName АЛЕКСАНДР
TargetDomainName
Status 0xc000006d
FailureReason %%2313
SubStatus 0xc0000064
LogonType 3
LogonProcessName NtLmSsp
AuthenticationPackageName NTLM
WorkstationName
TransmittedServices -
LmPackageName -
KeyLength 0
ProcessId 0x0
ProcessName -
IpAddress -
IpPort -
-vlk-
12.12.2016
И вообще что из этого лога можно извлечь полезного об атакующем?
Reutoff
12.12.2016
Абсолютно ничего не видно.
-vlk-
12.12.2016
Снифферить? Или есть какие-то варианты попроще?
все видно
гуглите по EnentID
-vlk- писал(а)
И вообще что из этого лога можно извлечь полезного об атакующем?

полезного - ничего.
у "атакующего" может быть какая-нибудь обычная прога, которая долбится в сервер с неправильно вписанной учеткой, например аутентификация на прокси, в качестве которой указан сервер. он уж про неё забыл сто лет назад. странный способ подбора паролей - долбиться миллион раз с одной неправильной учеткой :о)))
сеть такая большая, что невозможно вычислить источник?
-vlk-
14.12.2016
Зловреда вроде отловили и убили (антивирусы его не детектили).
Теперь другая аномалия. Несколько раз в минуту сервер пишет в логи Аудит успеха с кодами 4672-4624-4634 (последовательность кодов всегда одинаковая). Гугление не помогло. Есть мысли?
McLane
12.12.2016
сервер наружу смотрит?
перенастроить порты доступа на другие. поставить двухфактурную аутентификацию хотя бы по смс .....
-vlk-
12.12.2016
Это изнутри сетки кто-то работает.
RealVaVa
12.12.2016
Изнутри? Тогда
Computer zzz.zzzz.net

должно быть более, чем достаточно, чтобы найти зловреда
-vlk-
13.12.2016
Это имя сервера, к которому пароль подбирают.
еще один....
McLane
13.12.2016
ну тогда отсниферить откуда и покарать :-)
ЗЫ скорей всего дрянь подцепили ....
вы бредите...

зы. я реально в шоке от местных гуру - такую хероту несут, туши свет...
McLane
14.12.2016
О "старейшина" очнулся - щас всем все скажет )))))))
"старейшина" никогда не даёт советов. Он только набрасывает на вентилятор.
Ниже подробный и исчерпывающий ответ по теме от меня, решающий проблему автора без всяких снифферов. Не знали такого способа?
McLane
14.12.2016
да видел, знаю. вопрос был в том чтоб ТС не цедил информацию, а рассказал все сразу, чтоб не перечислять варианты.

P.S. по поводу отсниферить - ТС сам об этом заикнулся, значит ему так удобнее. мне вот тоже проще в логи безопасности слазить, ибо есть у меня RDP выставленное наружу (усиленное шифрование, нестандартный порт и двухфакторная аутентификация), дык иногда смотрю кто пытается влезть :)
An25
12.12.2016
это студенты учатся ломать VPN туннели... у меня это происходит постоянно на разных роутерах...
Что-то вроде:
Dec 12 06:59:47 pptpd[328]: CTRL: Client 139.162.37.156 control connection started
Dec 12 06:59:47 pptpd[328]: CTRL: EOF or bad error reading ctrl packet length.
Dec 12 06:59:47 pptpd[328]: CTRL: couldn't read packet header (exit)
Dec 12 06:59:47 pptpd[328]: CTRL: CTRL read failed
Dec 12 06:59:47 pptpd[328]: CTRL: Reaping child PPP[0]
Dec 12 06:59:47 pptpd[328]: CTRL: Client 139.162.37.156 control connection finished
вы бредите.
при чем тут впн вообще
An25
14.12.2016
У меня эти сообщения валятся при попытке подключиться клиентом с неверной комбинацией логин/пароль к vpn серверу на роутере Асус. Поэтому я сделал такой вывод. У Вас другое объяснение? Пожалуйста озвучте, мне интересно.
В вашем случае - роутер Асус и протокол РРР, у ТС - виндовый сервер и протокол SMB. Совершенно разные сущности. Где вы нашли у ТС впн? Это примерно как если я приду к врачу и спрошу "доктор, у меня колено болит", а он ответит : "я вчера водкой траванулся, до сих пор мутит".
An25
14.12.2016
Ну а если такая аналогия:
К хирургу постоянно из кафе "Бигония на Филях" приносят пациентов то с ножевым, но с черемно-мозговой, то парней то девушек ...

PS Я говорю о сути проблемы - есть люди которые сканируют сети на поиск уязвимостей в корыстных целях или в целях обучения.
В Вашем примере тоже может быть простая взаимосвязь, если выяснится, что это Вы продали паленую водку доктору и он, в знак благодарности, пнул Вас в колено )))))))))))))))))
Это вообще лог чего?
Сервак на винде что-ли?!
-vlk-
12.12.2016
Да.
-vlk-
13.12.2016
Это лог 2012 сервера.
блять, я в шоке от местных админов
вы что, виндовый лог не узнаете?
1. Ещё раз - и бан за мат.
2. Я не виндовый админ. Почему я эту фигню должен знать?
1. Обстоятельства.
2. А зачем писать? Это форум квалифицированных технарей или просто поболтать за жизнь?
Линуксовые админы от вндовых отличаются кординально, однако, от этого они не перестают быть квалифицированными технарями )
Я тоже могу вывалить какой-нить хитрый лог и удивиться потом - "а чего, вы не знаете что это такое" ? )))
при этом я не знаю ни одного линуксового одмина, который бы не знал про винду и ни разу не видел ее лога
Зачем линуксовым админам знать логи и вообще сервера на винде?!
что бы не тупить на простых вещах
иначе это примерно как знать английский и не подозревать о существовании других языков и при виде иероглифов тупить "это что?"
Лучше быть супер профи в конкретной относительно узкой специальности, чем знать "всё" во всех областях и при этом не знать ничего.
Лично я не работаю с виндовыми доменами и серверами, мне это нах не надо знать. Так же как обычных оконный админ начнёт сразу тупить в конфигах нормального highload проект. И это даже без контейнеров, lvm и виртуализации.
p.s. я знают и виндовые сервера, но вот фраза "я в шоке от местных админов
вы что, виндовый лог не узнаете?" характеризует тебя не с лучшей стороны однозначно.
Знать всё не надо, но иметь некий кругозор обязательно, иначе грош цена такому спецу. Кроме того, я в упор не представляю одмина, который вообще ни разу в жизни не видел, не слышал, не знает про виндовый лог. Это примерно как человек, шпарящий по английски и не способный отличить арабскую вязь от иероглифа.
Для расширения кругозора знать лог винды совсем не обязательно. Имхо. Я вообще не храню ненужную мне информацию.
А то с таким подходом "для расширения кругозора" я могу спросить сколько дробинок в патроне дроби No5 ?
Agent_Smith писал(а)
Для расширения кругозора знать лог винды совсем не обязательно.

мысль не админа, но эникейщика
ph03nix
14.12.2016
я вам сейчас лог кластера kubernetes'a покажу, сообразите что там не так?
распространенность винды и кластера кубернец одинакова?
ph03nix
14.12.2016
Я вам про то, что для каждого распространенность программного обеспечения разная. С линуксом и кубом в частности я работаю каждый день, а вот с виндой нет :)
Ему бесполезно что-то объяснять. Одмин просто обязан знать лог винды, даже если не работает с ней )
Free Cat
15.12.2016
*rofl*
Да хорошо отмазываться уже. Все поняли твою профнепригодность. Там и знать-то ничего не надо, уже по виду ясно, что это лог винды.

ЗЫ. Ты, наверное, и cmd боишься )
Ты так и не сказал сколько дроби в патроне No5, значит ты не мужик, а мужчинка по твоей логике )))
cmd, я даже не знаю что это )
kassa111
16.12.2016
он видимо имел ввиду smd))
Agent_Smith писал(а)
сколько дроби в патроне No5, значит ты не мужик

Не "не мужик", а не охотник. Логику отдупляй!

Agent_Smith писал(а)
cmd, я даже не знаю что это

Поздравляю тебя, Шарик, ты балбес (с)
Кури: https://en.wikipedia.org/wiki/Cmd.exe
FreeCat
16.12.2016
command.com первее :-D ...
ph03nix писал(а)
а вот с виндой нет

Ну да. И при виде aero сразу теряешься, да?
-vlk- писал(а)
EventID 4625

в гугле забанили?
https://www.ultimatewindowss...spx?eventID=4625
короче, для совсем бестолковых объясняю: к вашей машине пытаются получить сетевой доступ из-под локальной учетной записи "александр", которая на вашем компьютере отсутствует.
никакой это не подбор

имя исходного компа см. в Workstation Name
-vlk-
14.12.2016
Всё правильно. Запись Александр действительно отсутствует. Таких записей в логах много, почти все они на букву А начинаются, и у нас таких пользователей никогда не было, явно кто-то брутфорсит.
Что такое 4625 я знаю без Гугла.
Меня интересует откуда подбирают, если WorkstationName пустое?
McLane
14.12.2016
вам бы вопрос сразу развернуто задавать, а то тут гадание на кофейной гуще начинается.
сразу бы писали, что запросов полно и на разные имена по алфавиту ....
а то сразу в гугл посылают же :)
-vlk- писал(а)
Меня интересует откуда подбирают, если WorkstationName пустое?

Это можно узнать из аудита событий безопасности .
Для этого: запускаем редактор групповой политики gpedit.msc, открываем Computer Management -> Windows Settings -> Security Settings ->Local policies -> Audit Policy, там включаем аудит неудачных событий входа (logon events, их два).
После идете в Event Viewer, Windows Logs, раздел Security и ищете там события Audit Failure для кода 4625, там будет адрес/имя исходного компа.
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем