🥇كيف يمكن لـ InTrust المساعدة في تقليل معدل محاولات التفويض الفاشلة عبر RDP

أي شخص حاول تشغيل جهاز افتراضي في السحابة يدرك جيدًا أن منفذ RDP القياسي، إذا ترك مفتوحًا، سيتعرض للهجوم على الفور تقريبًا من خلال موجات من محاولات القوة الغاشمة لكلمة المرور من عناوين IP المختلفة حول العالم.

في هذه المقالة سأوضح كيفية ذلك إنتراست يمكنك تكوين استجابة تلقائية للقوة الغاشمة لكلمة المرور عن طريق إضافة قاعدة جديدة إلى جدار الحماية. إنتراست هو منصة CLM لجمع وتحليل وتخزين البيانات غير المنظمة، والتي تحتوي بالفعل على مئات من ردود الفعل المحددة مسبقًا لأنواع مختلفة من الهجمات.

في Quest InTrust، يمكنك تكوين إجراءات الاستجابة عند تشغيل القاعدة. من وكيل جمع السجلات، يتلقى InTrust رسالة حول محاولة ترخيص غير ناجحة على محطة عمل أو خادم. لتكوين إضافة عناوين IP جديدة إلى جدار الحماية، تحتاج إلى نسخ قاعدة مخصصة موجودة لاكتشاف العديد من التراخيص الفاشلة وفتح نسخة منها للتحرير:

تستخدم الأحداث في سجلات Windows شيئًا يسمى InsertionString. انظر إلى التطابقات لرمز الحدث 4625 (هذا تسجيل دخول غير ناجح إلى النظام) وسترى أن الحقول التي نهتم بها مخزنة في InsertionString14 (اسم محطة العمل) وInsertionString20 (عنوان الشبكة المصدر). عند الهجوم من الإنترنت، من المرجح أن يظهر حقل اسم محطة العمل يكون فارغًا، لذلك يعد هذا المكان مهمًا لاستبدال القيمة من عنوان الشبكة المصدر.

وهذا ما يبدو عليه نص الحدث 4625:

An account failed to log on.
Subject:
	Security ID:		S-1-5-21-1135140816-2109348461-2107143693-500
	Account Name:		ALebovsky
	Account Domain:		LOGISTICS
	Logon ID:		0x2a88a
Logon Type:			2
Account For Which Logon Failed:
	Security ID:		S-1-0-0
	Account Name:		Paul
	Account Domain:		LOGISTICS
Failure Information:
	Failure Reason:		Account locked out.
	Status:			0xc0000234
	Sub Status:		0x0
Process Information:
	Caller Process ID:	0x3f8
	Caller Process Name:	C:WindowsSystem32svchost.exe
Network Information:
	Workstation Name:	DCC1
	Source Network Address:	::1
	Source Port:		0
Detailed Authentication Information:
	Logon Process:		seclogo
	Authentication Package:	Negotiate
	Transited Services:	-
	Package Name (NTLM only):	-
	Key Length:		0
This event is generated when a logon request fails. It is generated on the computer where access was attempted.
The Subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.
The Logon Type field indicates the kind of logon that was requested. The most common types are 2 (interactive) and 3 (network).
The Process Information fields indicate which account and process on the system requested the logon.
The Network Information fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.
The authentication information fields provide detailed information about this specific logon request.
	- Transited services indicate which intermediate services have participated in this logon request.
	- Package name indicates which sub-protocol was used among the NTLM protocols.
	- Key length indicates the length of the generated session key. This will be 0 if no session key was requested.

بالإضافة إلى ذلك، سنضيف قيمة عنوان الشبكة المصدر إلى نص الحدث.

فأنت بحاجة بعد ذلك إلى إضافة برنامج نصي يحظر عنوان IP في جدار حماية Windows. فيما يلي مثال يمكن استخدامه لهذا الغرض.

سكريبت لإعداد جدار الحماية

param(
         [Parameter(Mandatory = $true)]
         [ValidateNotNullOrEmpty()]   
         [string]
         $SourceAddress
)

$SourceAddress = $SourceAddress.Trim()
$ErrorActionPreference = 'Stop'
$ruleName = 'Quest-InTrust-Block-Failed-Logons'
$ruleDisplayName = 'Quest InTrust: Blocks IP addresses from failed logons'

function Get-BlockedIps {
    (Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue | get-netfirewalladdressfilter).RemoteAddress
}

$blockedIps = Get-BlockedIps
$allIps = [array]$SourceAddress + [array]$blockedIps | Select-Object -Unique | Sort-Object

if (Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue) {
    Set-NetFirewallRule -Name $ruleName -RemoteAddress $allIps
} else {
    New-NetFirewallRule -Name $ruleName -DisplayName $ruleDisplayName -Direction Inbound -Action Block -RemoteAddress $allIps
}

يمكنك الآن تغيير اسم القاعدة ووصفها لتجنب الارتباك لاحقًا.

أنت الآن بحاجة إلى إضافة هذا البرنامج النصي كإجراء استجابة للقاعدة، وتمكين القاعدة، والتأكد من تمكين القاعدة المقابلة في سياسة المراقبة في الوقت الفعلي. يجب تمكين الوكيل لتشغيل برنامج نصي للاستجابة ويجب تحديد المعلمة الصحيحة.

وبعد اكتمال الإعدادات، انخفض عدد التفويضات غير الناجحة بنسبة 80%. ربح؟ يا له من شيء عظيم!

في بعض الأحيان تحدث زيادة طفيفة مرة أخرى، ولكن هذا بسبب ظهور مصادر جديدة للهجوم. ثم يبدأ كل شيء في الانخفاض مرة أخرى.

على مدار أسبوع من العمل، تمت إضافة 66 عنوان IP إلى قاعدة جدار الحماية.

يوجد أدناه جدول يحتوي على 10 أسماء مستخدمين شائعة تم استخدامها لمحاولات التفويض.

اسم المستخدم

عدد

بالنسب المئوية

مدير

1220235

40.78

مشرف

672109

22.46

المستخدم

219870

7.35

contoso

126088

4.21

contoso.com

73048

2.44

مدير

55319

1.85

الخادم

39403

1.32

sgazlabdc01.contoso.com

32177

1.08

administrateur

32377

1.08

sgazlabdc01

31259

1.04

أخبرنا في التعليقات كيف ترد على تهديدات أمن المعلومات. ما هو النظام الذي تستخدمه وما مدى ملاءمته؟

إذا كنت مهتمًا برؤية InTrust أثناء العمل، ترك الطلب في نموذج الملاحظات الموجود على موقعنا الإلكتروني أو اكتب لي في رسالة شخصية.

اقرأ مقالاتنا الأخرى حول أمن المعلومات:

نحدد هجوم فيروس الفدية ونحصل على حق الوصول إلى وحدة تحكم المجال ونحاول مقاومة هذه الهجمات

ما يمكن أن يكون مفيدًا من سجلات محطة العمل استنادًا إلى نظام التشغيل Windows (مقال شعبي)

تتبع دورة حياة المستخدمين بدون كماشة أو شريط لاصق

ومن فعلها؟ نقوم بأتمتة تدقيق أمن المعلومات

كيفية تقليل تكلفة ملكية نظام SIEM ولماذا تحتاج إلى إدارة السجلات المركزية (CLM)

المصدر: www.habr.com

كيف يمكن أن يساعد InTrust في تقليل حالات فشل تسجيل الدخول إلى RDP

إضافة تعليق إلغاء الرد