Bisan kinsa nga misulay sa pagpadagan sa usa ka virtual nga makina sa panganod nahibal-an pag-ayo nga ang usa ka standard nga pantalan sa RDP, kung biyaan nga bukas, hapit dayon atakehon sa mga balud sa mga pagsulay sa brute force sa password gikan sa lainlaing mga adres sa IP sa tibuuk kalibutan.
Niini nga artikulo ipakita nako kung giunsa Mahimo nimong i-configure ang awtomatik nga tubag sa brute force sa password pinaagi sa pagdugang usa ka bag-ong lagda sa firewall. Ang InTrust kay alang sa pagkolekta, pag-analisar ug pagtipig sa wala'y istruktura nga datos, nga aduna nay gatusan nga gitakda nang daan nga mga reaksyon sa nagkalain-laing matang sa mga pag-atake.
Sa Quest InTrust mahimo nimong i-configure ang mga aksyon sa pagtubag kung ang usa ka lagda na-trigger. Gikan sa ahente sa pagkolekta sa log, ang InTrust nakadawat og mensahe bahin sa usa ka wala molampos nga pagsulay sa pagtugot sa usa ka workstation o server. Aron ma-configure ang pagdugang sa bag-ong mga IP address sa firewall, kinahanglan nimo nga kopyahon ang usa ka naandan nga lagda alang sa pag-ila sa daghang mga pakyas nga pagtugot ug pag-abli sa usa ka kopya niini alang sa pag-edit:
Ang mga panghitabo sa mga log sa Windows naggamit sa usa ka butang nga gitawag og InsertionString. (Kini usa ka dili malampuson nga pag-login sa sistema) ug imong makita nga ang mga natad nga among interesado gitipigan sa InsertionString14 (Workstation Name) ug InsertionString20 (Source Network Address).Sa dihang moatake gikan sa Internet, ang field sa Workstation Name lagmit mahimong walay sulod, mao nga kining dapita importante ilisan ang bili gikan sa Source Network Address.
Kini ang hitsura sa teksto sa panghitabo 4625:
An account failed to log on.
Subject:
Security ID: S-1-5-21-1135140816-2109348461-2107143693-500
Account Name: ALebovsky
Account Domain: LOGISTICS
Logon ID: 0x2a88a
Logon Type: 2
Account For Which Logon Failed:
Security ID: S-1-0-0
Account Name: Paul
Account Domain: LOGISTICS
Failure Information:
Failure Reason: Account locked out.
Status: 0xc0000234
Sub Status: 0x0
Process Information:
Caller Process ID: 0x3f8
Caller Process Name: C:WindowsSystem32svchost.exe
Network Information:
Workstation Name: DCC1
Source Network Address: ::1
Source Port: 0
Detailed Authentication Information:
Logon Process: seclogo
Authentication Package: Negotiate
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
This event is generated when a logon request fails. It is generated on the computer where access was attempted.
The Subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.
The Logon Type field indicates the kind of logon that was requested. The most common types are 2 (interactive) and 3 (network).
The Process Information fields indicate which account and process on the system requested the logon.
The Network Information fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.
The authentication information fields provide detailed information about this specific logon request.
- Transited services indicate which intermediate services have participated in this logon request.
- Package name indicates which sub-protocol was used among the NTLM protocols.
- Key length indicates the length of the generated session key. This will be 0 if no session key was requested.
Dugang pa, among idugang ang kantidad sa Source Network Address sa teksto sa panghitabo.
Unya kinahanglan nimong idugang ang usa ka script nga makapugong sa IP address sa Windows Firewall. Sa ubos usa ka pananglitan nga mahimong magamit alang niini.
Script alang sa pag-set up og firewall
param(
[Parameter(Mandatory = $true)]
[ValidateNotNullOrEmpty()]
[string]
$SourceAddress
)
$SourceAddress = $SourceAddress.Trim()
$ErrorActionPreference = 'Stop'
$ruleName = 'Quest-InTrust-Block-Failed-Logons'
$ruleDisplayName = 'Quest InTrust: Blocks IP addresses from failed logons'
function Get-BlockedIps {
(Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue | get-netfirewalladdressfilter).RemoteAddress
}
$blockedIps = Get-BlockedIps
$allIps = [array]$SourceAddress + [array]$blockedIps | Select-Object -Unique | Sort-Object
if (Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue) {
Set-NetFirewallRule -Name $ruleName -RemoteAddress $allIps
} else {
New-NetFirewallRule -Name $ruleName -DisplayName $ruleDisplayName -Direction Inbound -Action Block -RemoteAddress $allIps
}
Karon mahimo nimong usbon ang ngalan sa lagda ug paghulagway aron malikayan ang kalibog sa ulahi.
Karon kinahanglan nimong idugang kini nga script isip tubag nga aksyon sa lagda, i-enable ang lagda, ug siguruha nga ang katugbang nga lagda magamit sa real-time nga palisiya sa pag-monitor. Ang ahente kinahanglan nga makahimo sa pagpadagan sa usa ka tubag nga script ug kinahanglan adunay husto nga parameter nga gitakda.
Pagkahuman sa mga setting, ang gidaghanon sa wala molampos nga pagtugot mikunhod sa 80%. Kita? Nindot kaayo!
Usahay ang usa ka gamay nga pagtaas mahitabo pag-usab, apan kini tungod sa pagtunga sa bag-ong mga tinubdan sa pag-atake. Unya ang tanan magsugod sa pagkunhod pag-usab.
Sulod sa usa ka semana nga pagtrabaho, 66 ka mga IP address ang gidugang sa lagda sa firewall.
Sa ubos usa ka lamesa nga adunay 10 ka sagad nga mga username nga gigamit alang sa pagsulay sa pagtugot.
Ngalan sa tiggamit
Gidaghanon sa
Sa mga porsyento
administrator
1220235
40.78
admin
672109
22.46
user
219870
7.35
contoso
126088
4.21
contoso.com
73048
2.44
administrador
55319
1.85
server
39403
1.32
sgazlabdc01.contoso.com
32177
1.08
administrator
32377
1.08
sgazlabdc01
31259
1.04
Sultihi kami sa mga komento kung giunsa nimo pagtubag ang mga hulga sa seguridad sa impormasyon. Unsa nga sistema ang imong gigamit ug unsa kini kadali?
Kung interesado ka nga makita ang InTrust sa aksyon, sa feedback nga porma sa among website o pagsulat kanako sa usa ka personal nga mensahe.
Basaha ang among ubang mga artikulo bahin sa seguridad sa impormasyon:
(popular nga artikulo)
Source: www.habr.com