IP-адрес отображается в виде дефиса для неудачных подключений к удаленному рабочему столу в журнале событий.

Я пытаюсь понять, почему неудачные подключения к удаленному рабочему столу (с удаленного рабочего стола Windows) показывают IP-адрес клиента в виде дефиса. Вот журнал событий, который я получаю, когда ввожу неправильный пароль для учетной записи (сервер полностью внешний по отношению к моему домашнему компьютеру):

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" />
    <EventID>4625</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime="2012-03-25T19:22:14.694177500Z" />
    <EventRecordID>1658501</EventRecordID>
    <Correlation />
    <Execution ProcessID="544" ThreadID="12880" />
    <Channel>Security</Channel>
    <Computer>[Delete for Security Purposes]</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-0-0</Data>
    <Data Name="SubjectUserName">-</Data>
    <Data Name="SubjectDomainName">-</Data>
    <Data Name="SubjectLogonId">0x0</Data>
    <Data Name="TargetUserSid">S-1-0-0</Data>
    <Data Name="TargetUserName">[Delete for Security Purposes]</Data>
    <Data Name="TargetDomainName">[Delete for Security Purposes]</Data>
    <Data Name="Status">0xc000006d</Data>
    <Data Name="FailureReason">%%2313</Data>
    <Data Name="SubStatus">0xc000006a</Data>
    <Data Name="LogonType">3</Data>
    <Data Name="LogonProcessName">NtLmSsp </Data>
    <Data Name="AuthenticationPackageName">NTLM</Data>
    <Data Name="WorkstationName">MyComputer</Data>
    <Data Name="TransmittedServices">-</Data>
    <Data Name="LmPackageName">-</Data>
    <Data Name="KeyLength">0</Data>
    <Data Name="ProcessId">0x0</Data>
    <Data Name="ProcessName">-</Data>
    <Data Name="IpAddress">-</Data>
    <Data Name="IpPort">-</Data>
  </EventData>
</Event>

Ничего не нашел в Интернете и пытаюсь остановить атаки терминальных служб. Любое понимание приветствуется, я ничего не нашел в Интернете после нескольких часов поиска...


event-log remote-desktop windows-server-2008
person jjxtra    schedule 25.03.2012    source источник
comment
возможный дубликат IP-адрес регистрации событий не всегда разрешается   -  person jjxtra    schedule 25.03.2012

Ответы (2)


arrow_upward
1
arrow_downward

Ответ здесь, есть некоторые настройки в локальной политике безопасности:

IP-адрес регистрации событий не всегда разрешается

person jjxtra    schedule 25.03.2012

arrow_upward
1
arrow_downward

Это функция TLS/SSL-шифрования удаленного рабочего стола. Вместо этого, используя шифрование RDP (исходное шифрование протокола), вы увидите все IP-адреса в 4625 контрольных сообщениях.

Подробнее о как настроить сеансы RDP и на какие компромиссы пойти.

Установив правильную систему обнаружения вторжений и защиты, вы можете просто заблокировать злоумышленников, что может сделать старое шифрование более безопасным, чем новое, потому что, если вы не знаете, кто такой плохой парень, вы не можете его заблокировать. вне.

person Max    schedule 30.06.2012