Jeder, der versucht hat, eine virtuelle Maschine in der Cloud zu starten, weiß, dass der Standard-RDP-Port, wenn er offen bleibt, fast sofort von Wellen von Passwort-Brute-Force-Versuchen aus verschiedenen IP-Adressen weltweit angegriffen wird.
In diesem Artikel zeige ich Ihnen, wie Sie eine automatische Reaktion auf Passwort-Brute-Force-Angriffe durch das Hinzufügen einer neuen Regel zur Firewall einrichten können. InTrust ist ein zum Sammeln, Analysieren und Speichern von unstrukturierten Daten, die bereits Hunderte von vorgefertigten Reaktionen auf verschiedene Arten von Angriffen enthält.
Mit Quest InTrust können Sie reaktive Maßnahmen einrichten, wenn eine Regel ausgelöst wird. Der Log-Sammelagent von InTrust erhält eine Benachrichtigung über einen fehlgeschlagenen Authentifizierungsversuch an der Arbeitsstation oder dem Server. Um das Hinzufügen neuer IP-Adressen zur Firewall einzurichten, müssen Sie eine vorhandene spezielle Regel zur Erkennung mehrfacher fehlgeschlagener Authentifizierungen kopieren und die Kopie zur Bearbeitung öffnen:
Ereignisse in den Windows-Protokollen verwenden die sogenannten InsertionString. (dies ist ein fehlgeschlagener Anmeldeversuch) und Sie werden feststellen, dass die für uns interessierenden Felder in InsertionString14 (Arbeitsstationsname) und InsertionString20 (Quellnetzwerkadresse) gespeichert sind. Bei einem Angriff aus dem Internet wird das Feld mit dem Arbeitsstationsnamen wahrscheinlich leer sein, daher ist es wichtig, an dieser Stelle den Wert aus der Quellnetzwerkadresse einzufügen.
So sieht ein Ereignistext 4625 aus.
Ein Anmeldeversuch ist fehlgeschlagen.
Subjekt:
Sicherheits-ID: S-1-5-21-1135140816-2109348461-2107143693-500
Kontoname: ALebovsky
Konto-Domain: LOGISTICS
Anmelde-ID: 0x2a88a
Anmeldetyp: 2
Konto, für das die Anmeldung fehlgeschlagen ist:
Sicherheits-ID: S-1-0-0
Kontoname: Paul
Konto-Domain: LOGISTICS
Fehlerinformationen:
Fehlergrund: Konto wurde gesperrt.
Status: 0xc0000234
Unterstatus: 0x0
Prozessinformationen:
Aufruferprozess-ID: 0x3f8
Aufruferprozessname: C:\Windows\System32\svchost.exe
Netzwerkinformationen:
Arbeitsplatzname: DCC1
Quellnetzwerkadresse: ::1
Quellport: 0
Detaillierte Authentifizierungsinformationen:
Anmeldeprozess: seclogo
Authentifizierungspaket: Negotiate
Durchgereichte Dienste: -
Paketname (nur NTLM): -
Schlüssellänge: 0
Dieses Ereignis wird erzeugt, wenn ein Anmeldeversuch fehlschlägt. Es wird auf dem Computer generiert, auf dem der Zugriff versucht wurde.
Die Felder des Subjekts geben das Konto im lokalen System an, das die Anmeldung angefordert hat. Dies ist am häufigsten ein Dienst wie z.B. der Serverdienst oder ein lokaler Prozess wie Winlogon.exe oder Services.exe.
Das Feld Anmeldetyp zeigt an, um welche Art von Anmeldung es sich handelt. Die häufigsten Typen sind 2 (interaktiv) und 3 (Netzwerk).
Die Felder der Prozessinformationen zeigen an, welches Konto und welcher Prozess auf dem System die Anmeldung angefordert haben.
Die Felder der Netzwerkinformationen geben an, woher die Anfrage für eine Remote-Anmeldung stammt. Der Arbeitsplatzname ist nicht immer verfügbar und kann in einigen Fällen leer gelassen werden.
Die Authentifizierungsinformationsfelder bieten detaillierte Informationen über diesen spezifischen Anmeldeversuch.
- Durchgereichte Dienste zeigen an, welche Zwischenservices an diesem Anmeldeversuch beteiligt waren.
- Der Paketname gibt an, welches Subprotokoll unter den NTLM-Protokollen verwendet wurde.
- Die Schlüssellänge gibt die Länge des generierten Sitzungs-Keys an. Dies wird 0 sein, wenn kein Sitzungs-Key angefordert wurde.
Zusätzlich fügen wir den Wert der Quellnetzwerkadresse in den Ereignistext ein.
Fügen Sie dann ein Skript hinzu, das die IP-Adresse in der Windows-Firewall blockiert. Unten finden Sie ein Beispiel, das Sie dafür verwenden können.
Skript zur Konfiguration der Firewall
param(
[Parameter(Mandatory = $true)]
[ValidateNotNullOrEmpty()]
[string]
$SourceAddress
)
$SourceAddress = $SourceAddress.Trim()
$ErrorActionPreference = 'Stop'
$ruleName = 'Quest-InTrust-Block-Failed-Logons'
$ruleDisplayName = 'Quest InTrust: Blockiert IP-Adressen von fehlgeschlagenen Anmeldungen'
function Get-BlockedIps {
(Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue | get-netfirewalladdressfilter).RemoteAddress
}
$blockedIps = Get-BlockedIps
$allIps = [array]$SourceAddress + [array]$blockedIps | Select-Object -Unique | Sort-Object
if (Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue) {
Set-NetFirewallRule -Name $ruleName -RemoteAddress $allIps
} else {
New-NetFirewallRule -Name $ruleName -DisplayName $ruleDisplayName -Direction Inbound -Action Block -RemoteAddress $allIps
}
Jetzt können Sie den Namen der Regel und ihre Beschreibung ändern, um Verwirrungen zu vermeiden.
Jetzt fügen Sie dieses Skript als Reaktion auf die Regel hinzu, aktivieren die Regel und stellen sicher, dass die entsprechende Regel in der Monitoring-Policy für den Echtzeitmodus aktiviert ist. Auf dem Agenten muss die Ausführung des Reaktionsskripts aktiviert sein und der richtige Parameter angegeben werden.
Nach den Anpassungen ist die Anzahl der fehlgeschlagenen Authentifizierungsversuche um 80 % gesunken. Profit? Mehr als das!
Manchmal gibt es eine kleine Wiederholung, aber das liegt an neuen Angriffsquellen. Danach fällt alles wieder.
Im Laufe der Woche wurden 66 IP-Adressen in die Firewall-Regeln aufgenommen.
Unten finden Sie eine Tabelle mit 10 häufigen Benutzernamen, die für Authentifizierungsversuche verwendet wurden.
Benutzername
Anzahl
In Prozent
administrator
1220235
40.78
admin
672109
22.46
Benutzer
219870
7.35
contoso
126088
4.21
contoso.com
73048
2.44
administrador
55319
1.85
server
39403
1.32
sgazlabdc01.contoso.com
32177
1.08
administrateur
32377
1.08
sgazlabdc01
31259
1.04
Teilen Sie in den Kommentaren, wie Sie auf Bedrohungen der Informationssicherheit reagieren. Welches System verwenden Sie, und wie benutzerfreundlich ist es?
Wenn Sie Interesse daran haben, InTrust in Aktion zu sehen, nutzen Sie das Kontaktformular auf unserer Website oder schreiben Sie mir eine Nachricht.
Lesen Sie auch unsere anderen Artikel zum Thema Informationssicherheit:
(beliebter Artikel)
Quelle: habr.com
