Buludda virtual maşın işlətməyə cəhd edən hər kəs yaxşı bilir ki, standart RDP portu açıq qalarsa, demək olar ki, dərhal dünyanın müxtəlif İP ünvanlarından parol kobud güc cəhdləri dalğalarına məruz qalacaq.
Bu yazıda necə edəcəyimi göstərəcəyəm Siz firewall-a yeni qayda əlavə etməklə parolun kobud gücünə avtomatik cavabı konfiqurasiya edə bilərsiniz. InTrust edir müxtəlif növ hücumlara qarşı yüzlərlə əvvəlcədən təyin edilmiş reaksiyaları olan strukturlaşdırılmamış məlumatların toplanması, təhlili və saxlanması üçün.
Quest InTrust-da bir qayda işə salındıqda cavab hərəkətlərini konfiqurasiya edə bilərsiniz. Jurnal toplama agentindən InTrust iş stansiyasında və ya serverdə uğursuz avtorizasiya cəhdi haqqında mesaj alır. Firewall-a yeni IP ünvanlarının əlavə edilməsini konfiqurasiya etmək üçün siz çoxsaylı uğursuz icazələrin aşkarlanması üçün mövcud fərdi qaydanı kopyalamalı və redaktə üçün onun surətini açmalısınız:
Windows qeydlərindəki hadisələr InsertionString adlı bir şeydən istifadə edir. (bu sistemə uğursuz girişdir) və bizi maraqlandıran sahələrin InsertionString14 (İş Stansiyasının Adı) və InsertionString20 (Mənbə Şəbəkə Ünvanı)-da saxlandığını görəcəksiniz.İnternetdən hücum edərkən, İş Stansiyasının Adı sahəsi çox güman ki, olacaq. boş olun, buna görə də bu yer vacibdir Mənbə Şəbəkə Ünvanından dəyəri əvəz edin.
4625 hadisəsinin mətni belə görünür:
An account failed to log on.
Subject:
Security ID: S-1-5-21-1135140816-2109348461-2107143693-500
Account Name: ALebovsky
Account Domain: LOGISTICS
Logon ID: 0x2a88a
Logon Type: 2
Account For Which Logon Failed:
Security ID: S-1-0-0
Account Name: Paul
Account Domain: LOGISTICS
Failure Information:
Failure Reason: Account locked out.
Status: 0xc0000234
Sub Status: 0x0
Process Information:
Caller Process ID: 0x3f8
Caller Process Name: C:WindowsSystem32svchost.exe
Network Information:
Workstation Name: DCC1
Source Network Address: ::1
Source Port: 0
Detailed Authentication Information:
Logon Process: seclogo
Authentication Package: Negotiate
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
This event is generated when a logon request fails. It is generated on the computer where access was attempted.
The Subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.
The Logon Type field indicates the kind of logon that was requested. The most common types are 2 (interactive) and 3 (network).
The Process Information fields indicate which account and process on the system requested the logon.
The Network Information fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.
The authentication information fields provide detailed information about this specific logon request.
- Transited services indicate which intermediate services have participated in this logon request.
- Package name indicates which sub-protocol was used among the NTLM protocols.
- Key length indicates the length of the generated session key. This will be 0 if no session key was requested.
Əlavə olaraq, hadisə mətninə Mənbə Şəbəkə Ünvanı dəyərini əlavə edəcəyik.
Sonra Windows Firewall-da IP ünvanını bloklayacaq bir skript əlavə etməlisiniz. Aşağıda bunun üçün istifadə edilə bilən bir nümunə verilmişdir.
Firewall qurmaq üçün skript
param(
[Parameter(Mandatory = $true)]
[ValidateNotNullOrEmpty()]
[string]
$SourceAddress
)
$SourceAddress = $SourceAddress.Trim()
$ErrorActionPreference = 'Stop'
$ruleName = 'Quest-InTrust-Block-Failed-Logons'
$ruleDisplayName = 'Quest InTrust: Blocks IP addresses from failed logons'
function Get-BlockedIps {
(Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue | get-netfirewalladdressfilter).RemoteAddress
}
$blockedIps = Get-BlockedIps
$allIps = [array]$SourceAddress + [array]$blockedIps | Select-Object -Unique | Sort-Object
if (Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue) {
Set-NetFirewallRule -Name $ruleName -RemoteAddress $allIps
} else {
New-NetFirewallRule -Name $ruleName -DisplayName $ruleDisplayName -Direction Inbound -Action Block -RemoteAddress $allIps
}
İndi siz sonradan qarışıqlığın qarşısını almaq üçün qayda adını və təsvirini dəyişə bilərsiniz.
İndi bu skripti qaydaya cavab hərəkəti kimi əlavə etməli, qaydanı aktiv etməli və müvafiq qaydanın real vaxt monitorinq siyasətində aktiv olmasını təmin etməlisiniz. Agent cavab skriptini işə salmaq üçün aktivləşdirilməli və düzgün parametrə malik olmalıdır.
Parametrlər tamamlandıqdan sonra uğursuz icazələrin sayı 80% azaldı. Mənfəət? Nə gözəl!
Bəzən kiçik bir artım yenidən baş verir, lakin bu, yeni hücum mənbələrinin ortaya çıxması ilə əlaqədardır. Sonra hər şey yenidən azalmağa başlayır.
Bir həftəlik iş ərzində firewall qaydasına 66 IP ünvanı əlavə edildi.
Aşağıda avtorizasiya cəhdləri üçün istifadə edilən 10 ümumi istifadəçi adı olan cədvəl verilmişdir.
İstifadəçi adı
Nömrə
Faizlə
administrator
1220235
40.78
admin
672109
22.46
istifadəçi
219870
7.35
əyilmiş
126088
4.21
contoso.com
73048
2.44
inzibatçı
55319
1.85
server
39403
1.32
sgazlabdc01.contoso.com
32177
1.08
Administrateur
32377
1.08
sgazlabdc01
31259
1.04
İnformasiya təhlükəsizliyi təhdidlərinə necə cavab verdiyinizi şərhlərdə bizə bildirin. Hansı sistemdən istifadə edirsiniz və nə dərəcədə rahatdır?
InTrust-u fəaliyyətdə görmək istəyirsinizsə, veb saytımızdakı rəy formasında və ya mənə şəxsi mesajda yazın.
İnformasiya təhlükəsizliyi ilə bağlı digər məqalələrimizi oxuyun:
(məşhur məqalə)
Mənbə: www.habr.com