--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

Кто-то к серверу пароли подбирает

Операционные системы
3658
53
С друзьями на NN.RU
В социальных сетях
Поделиться
-vlk-
12.12.2016
В логах постоянно появляются подобные записи. Подскажите, если в IpAddress и IpPort прочерки, что это значит?

System

- Provider

[ Name] Microsoft-Windows-Security-Auditing
[ Guid] {54849625-5478-4994-A5BA-3E3B0328C30D}

EventID 4625

Version 0

Level 0

Task 12544

Opcode 0

Keywords 0x8010000000000000

- TimeCreated

[ SystemTime] 2016-12-12T09:11:00.169760600Z

EventRecordID 91224

Correlation

- Execution

[ ProcessID] 532
[ ThreadID] 2056

Channel Security

Computer zzz.zzzz.net

Security


- EventData

SubjectUserSid S-1-0-0
SubjectUserName -
SubjectDomainName -
SubjectLogonId 0x0
TargetUserSid S-1-0-0
TargetUserName АЛЕКСАНДР
TargetDomainName
Status 0xc000006d
FailureReason %%2313
SubStatus 0xc0000064
LogonType 3
LogonProcessName NtLmSsp
AuthenticationPackageName NTLM
WorkstationName
TransmittedServices -
LmPackageName -
KeyLength 0
ProcessId 0x0
ProcessName -
IpAddress -
IpPort -
-vlk-
12.12.2016
И вообще что из этого лога можно извлечь полезного об атакующем?
Reutoff
12.12.2016
Абсолютно ничего не видно.
-vlk-
12.12.2016
Снифферить? Или есть какие-то варианты попроще?
все видно
гуглите по EnentID
-vlk- писал(а)
И вообще что из этого лога можно извлечь полезного об атакующем?

полезного - ничего.
у "атакующего" может быть какая-нибудь обычная прога, которая долбится в сервер с неправильно вписанной учеткой, например аутентификация на прокси, в качестве которой указан сервер. он уж про неё забыл сто лет назад. странный способ подбора паролей - долбиться миллион раз с одной неправильной учеткой :о)))
сеть такая большая, что невозможно вычислить источник?
-vlk-
14.12.2016
Зловреда вроде отловили и убили (антивирусы его не детектили).
Теперь другая аномалия. Несколько раз в минуту сервер пишет в логи Аудит успеха с кодами 4672-4624-4634 (последовательность кодов всегда одинаковая). Гугление не помогло. Есть мысли?
McLane
12.12.2016
сервер наружу смотрит?
перенастроить порты доступа на другие. поставить двухфактурную аутентификацию хотя бы по смс .....
-vlk-
12.12.2016
Это изнутри сетки кто-то работает.
RealVaVa
12.12.2016
Изнутри? Тогда
Computer zzz.zzzz.net

должно быть более, чем достаточно, чтобы найти зловреда
-vlk-
13.12.2016
Это имя сервера, к которому пароль подбирают.
еще один....
McLane
13.12.2016
ну тогда отсниферить откуда и покарать :-)
ЗЫ скорей всего дрянь подцепили ....
вы бредите...

зы. я реально в шоке от местных гуру - такую хероту несут, туши свет...
McLane
14.12.2016
О "старейшина" очнулся - щас всем все скажет )))))))
"старейшина" никогда не даёт советов. Он только набрасывает на вентилятор.
Ниже подробный и исчерпывающий ответ по теме от меня, решающий проблему автора без всяких снифферов. Не знали такого способа?
McLane
14.12.2016
да видел, знаю. вопрос был в том чтоб ТС не цедил информацию, а рассказал все сразу, чтоб не перечислять варианты.

P.S. по поводу отсниферить - ТС сам об этом заикнулся, значит ему так удобнее. мне вот тоже проще в логи безопасности слазить, ибо есть у меня RDP выставленное наружу (усиленное шифрование, нестандартный порт и двухфакторная аутентификация), дык иногда смотрю кто пытается влезть :)
An25
12.12.2016
это студенты учатся ломать VPN туннели... у меня это происходит постоянно на разных роутерах...
Что-то вроде:
Dec 12 06:59:47 pptpd[328]: CTRL: Client 139.162.37.156 control connection started
Dec 12 06:59:47 pptpd[328]: CTRL: EOF or bad error reading ctrl packet length.
Dec 12 06:59:47 pptpd[328]: CTRL: couldn't read packet header (exit)
Dec 12 06:59:47 pptpd[328]: CTRL: CTRL read failed
Dec 12 06:59:47 pptpd[328]: CTRL: Reaping child PPP[0]
Dec 12 06:59:47 pptpd[328]: CTRL: Client 139.162.37.156 control connection finished
вы бредите.
при чем тут впн вообще
An25
14.12.2016
У меня эти сообщения валятся при попытке подключиться клиентом с неверной комбинацией логин/пароль к vpn серверу на роутере Асус. Поэтому я сделал такой вывод. У Вас другое объяснение? Пожалуйста озвучте, мне интересно.
В вашем случае - роутер Асус и протокол РРР, у ТС - виндовый сервер и протокол SMB. Совершенно разные сущности. Где вы нашли у ТС впн? Это примерно как если я приду к врачу и спрошу "доктор, у меня колено болит", а он ответит : "я вчера водкой траванулся, до сих пор мутит".
An25
14.12.2016
Ну а если такая аналогия:
К хирургу постоянно из кафе "Бигония на Филях" приносят пациентов то с ножевым, но с черемно-мозговой, то парней то девушек ...

PS Я говорю о сути проблемы - есть люди которые сканируют сети на поиск уязвимостей в корыстных целях или в целях обучения.
В Вашем примере тоже может быть простая взаимосвязь, если выяснится, что это Вы продали паленую водку доктору и он, в знак благодарности, пнул Вас в колено )))))))))))))))))
Это вообще лог чего?
Сервак на винде что-ли?!
-vlk-
12.12.2016
Да.
-vlk-
13.12.2016
Это лог 2012 сервера.
блять, я в шоке от местных админов
вы что, виндовый лог не узнаете?
1. Ещё раз - и бан за мат.
2. Я не виндовый админ. Почему я эту фигню должен знать?
1. Обстоятельства.
2. А зачем писать? Это форум квалифицированных технарей или просто поболтать за жизнь?
Линуксовые админы от вндовых отличаются кординально, однако, от этого они не перестают быть квалифицированными технарями )
Я тоже могу вывалить какой-нить хитрый лог и удивиться потом - "а чего, вы не знаете что это такое" ? )))
при этом я не знаю ни одного линуксового одмина, который бы не знал про винду и ни разу не видел ее лога
Зачем линуксовым админам знать логи и вообще сервера на винде?!
что бы не тупить на простых вещах
иначе это примерно как знать английский и не подозревать о существовании других языков и при виде иероглифов тупить "это что?"
Лучше быть супер профи в конкретной относительно узкой специальности, чем знать "всё" во всех областях и при этом не знать ничего.
Лично я не работаю с виндовыми доменами и серверами, мне это нах не надо знать. Так же как обычных оконный админ начнёт сразу тупить в конфигах нормального highload проект. И это даже без контейнеров, lvm и виртуализации.
p.s. я знают и виндовые сервера, но вот фраза "я в шоке от местных админов
вы что, виндовый лог не узнаете?" характеризует тебя не с лучшей стороны однозначно.
Знать всё не надо, но иметь некий кругозор обязательно, иначе грош цена такому спецу. Кроме того, я в упор не представляю одмина, который вообще ни разу в жизни не видел, не слышал, не знает про виндовый лог. Это примерно как человек, шпарящий по английски и не способный отличить арабскую вязь от иероглифа.
Для расширения кругозора знать лог винды совсем не обязательно. Имхо. Я вообще не храню ненужную мне информацию.
А то с таким подходом "для расширения кругозора" я могу спросить сколько дробинок в патроне дроби No5 ?
Agent_Smith писал(а)
Для расширения кругозора знать лог винды совсем не обязательно.

мысль не админа, но эникейщика
ph03nix
14.12.2016
я вам сейчас лог кластера kubernetes'a покажу, сообразите что там не так?
распространенность винды и кластера кубернец одинакова?
ph03nix
14.12.2016
Я вам про то, что для каждого распространенность программного обеспечения разная. С линуксом и кубом в частности я работаю каждый день, а вот с виндой нет :)
Ему бесполезно что-то объяснять. Одмин просто обязан знать лог винды, даже если не работает с ней )
Free Cat
15.12.2016
*rofl*
Да хорошо отмазываться уже. Все поняли твою профнепригодность. Там и знать-то ничего не надо, уже по виду ясно, что это лог винды.

ЗЫ. Ты, наверное, и cmd боишься )
Ты так и не сказал сколько дроби в патроне No5, значит ты не мужик, а мужчинка по твоей логике )))
cmd, я даже не знаю что это )
kassa111
16.12.2016
он видимо имел ввиду smd))
Agent_Smith писал(а)
сколько дроби в патроне No5, значит ты не мужик

Не "не мужик", а не охотник. Логику отдупляй!

Agent_Smith писал(а)
cmd, я даже не знаю что это

Поздравляю тебя, Шарик, ты балбес (с)
Кури: https://en.wikipedia.org/wiki/Cmd.exe
FreeCat
16.12.2016
command.com первее :-D ...
ph03nix писал(а)
а вот с виндой нет

Ну да. И при виде aero сразу теряешься, да?
-vlk- писал(а)
EventID 4625

в гугле забанили?
https://www.ultimatewindowss...spx?eventID=4625
короче, для совсем бестолковых объясняю: к вашей машине пытаются получить сетевой доступ из-под локальной учетной записи "александр", которая на вашем компьютере отсутствует.
никакой это не подбор

имя исходного компа см. в Workstation Name
-vlk-
14.12.2016
Всё правильно. Запись Александр действительно отсутствует. Таких записей в логах много, почти все они на букву А начинаются, и у нас таких пользователей никогда не было, явно кто-то брутфорсит.
Что такое 4625 я знаю без Гугла.
Меня интересует откуда подбирают, если WorkstationName пустое?
McLane
14.12.2016
вам бы вопрос сразу развернуто задавать, а то тут гадание на кофейной гуще начинается.
сразу бы писали, что запросов полно и на разные имена по алфавиту ....
а то сразу в гугл посылают же :)
-vlk- писал(а)
Меня интересует откуда подбирают, если WorkstationName пустое?

Это можно узнать из аудита событий безопасности .
Для этого: запускаем редактор групповой политики gpedit.msc, открываем Computer Management -> Windows Settings -> Security Settings ->Local policies -> Audit Policy, там включаем аудит неудачных событий входа (logon events, их два).
После идете в Event Viewer, Windows Logs, раздел Security и ищете там события Audit Failure для кода 4625, там будет адрес/имя исходного компа.
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем
Последние темы форумов
Принтер лазерный Avision AP30A

Avision AP30A лазерный принтер черно-белая печать формат A4, 33 стр/мин, 128 Мб, дуплекс, лоток 250 листов и многоцелевой лоток с...
Цена: 9 900 руб.

Материнские платы на запчасти и не только

Материнские платы на запчасти и не только Материнские платы и другие комплектующие Отправка в регионы после оплаты. Транспортной...
Цена: 3 000 руб.

Продаю факс (ы) Panasonic– FT932/982

Продаю факс (ы) Panasonic– FT932/982: термоперенос, термобумага, А4
Цена: 350 руб.

Дорого куплю новые картриджи от лазерных и струйных

РЕАЛЬНО Дорого куплю новые картриджи от лазерных и струйных принтеров и копиров (НР, Canon, Samsung, Xerox, OCE и др.) всех моделей....
Цена: 7 777 руб.