À tous ceux qui ont essayé de lancer une machine virtuelle dans le cloud, il est bien connu que le port RDP standard, s'il est laissé ouvert, sera presque immédiatement attaqué par des vagues de tentatives de force brute provenant de diverses adresses IP à travers le monde.
Dans cet article, je vais vous montrer comment configurer une réaction automatique aux tentatives de force brute en ajoutant une nouvelle règle au pare-feu. InTrust est une pour la collecte, l'analyse et le stockage de données non structurées, qui dispose déjà de centaines de réactions prédéfinies pour divers types d'attaques.
Dans Quest InTrust, vous pouvez configurer des actions de réponse lorsque la règle est déclenchée. À partir de l'agent collecteur de journaux, InTrust reçoit une notification d'une tentative d'authentification échouée sur une station de travail ou un serveur. Pour configurer l'ajout de nouvelles adresses IP au pare-feu, il est nécessaire de copier une règle de détection spécialisée existante de plusieurs échecs d'authentification et d'ouvrir sa copie pour l'édition :
Les événements dans les journaux Windows utilisent ce que l'on appelle InsertionString. (il s'agit d'une connexion échouée au système) et vous verrez que les champs qui nous intéressent sont stockés dans InsertionString14 (Nom de la station de travail) et InsertionString20 (Adresse réseau source). Lors d'une attaque depuis Internet, le champ du Nom de la station de travail sera probablement vide, donc il est important de remplacer cette valeur par celle de l'Adresse réseau source.
Voici à quoi ressemble le texte de l'événement 4625
Un échec de connexion a eu lieu.
Objet :
Identifiant de sécurité : S-1-5-21-1135140816-2109348461-2107143693-500
Nom du compte : ALebovsky
Domaine du compte : LOGISTICS
Identifiant de connexion : 0x2a88a
Type de connexion : 2
Compte pour lequel la connexion a échoué :
Identifiant de sécurité : S-1-0-0
Nom du compte : Paul
Domaine du compte : LOGISTICS
Informations sur l'échec :
Raison de l'échec : Compte verrouillé.
Statut : 0xc0000234
Sous statut : 0x0
Informations sur le processus :
Identifiant du processus appelant : 0x3f8
Nom du processus appelant : C:WindowsSystem32svchost.exe
Informations sur le réseau :
Nom de la station de travail : DCC1
Adresse réseau source : ::1
Port source : 0
Informations d'authentification détaillées :
Processus de connexion : seclogo
Paquet d'authentification : Negotiate
Services transitaires : -
Nom du paquet (uniquement NTLM) : -
Longueur de la clé : 0
Cet événement est généré lorsqu'une demande de connexion échoue. Il est généré sur l'ordinateur où l'accès a été tenté.
Les champs Sujet indiquent le compte sur le système local qui a demandé la connexion. C'est le plus souvent un service tel que le service Serveur, ou un processus local comme Winlogon.exe ou Services.exe.
Le champ Type de connexion indique le type de connexion qui a été demandé. Les types les plus courants sont 2 (interactif) et 3 (réseau).
Les champs Informations sur le processus indiquent quel compte et quel processus sur le système a demandé la connexion.
Les champs Informations sur le réseau indiquent d'où provient une demande de connexion à distance. Le nom de la station de travail n'est pas toujours disponible et peut être omis dans certains cas.
Les champs d'informations d'authentification fournissent des informations détaillées sur cette demande de connexion spécifique.
- Les services transitaires indiquent quels services intermédiaires ont participé à cette demande de connexion.
- Le nom du paquet indique quel sous-protocole a été utilisé parmi les protocoles NTLM.
- La longueur de la clé indique la longueur de la clé de session générée. Cela sera 0 si aucune clé de session n'a été demandée.
De plus, ajoutons la valeur de l'adresse réseau source dans le texte de l'événement.
Ensuite, il est nécessaire d'ajouter un script qui bloquera l'adresse IP dans le pare-feu Windows. Ci-dessous un exemple qui peut être utilisé à cet effet.
Script pour configurer le pare-feu
param(
[Parameter(Mandatory = $true)]
[ValidateNotNullOrEmpty()]
[string]
$SourceAddress
)
$SourceAddress = $SourceAddress.Trim()
$ErrorActionPreference = 'Stop'
$ruleName = 'Quest-InTrust-Block-Failed-Logons'
$ruleDisplayName = 'Quest InTrust : Bloque les adresses IP des connexions échouées'
function Get-BlockedIps {
(Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue | get-netfirewalladdressfilter).RemoteAddress
}
$blockedIps = Get-BlockedIps
$allIps = [array]$SourceAddress + [array]$blockedIps | Select-Object -Unique | Sort-Object
if (Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue) {
Set-NetFirewallRule -Name $ruleName -RemoteAddress $allIps
} else {
New-NetFirewallRule -Name $ruleName -DisplayName $ruleDisplayName -Direction Inbound -Action Block -RemoteAddress $allIps
}
Il est maintenant possible de modifier le nom de la règle et sa description, afin d'éviter toute confusion par la suite.
Il est maintenant nécessaire d'ajouter ce script en tant qu'action de réponse à la règle, d'activer la règle et de s'assurer que la règle correspondante est incluse dans la politique de surveillance pour le mode en temps réel. Sur l'agent, la possibilité d'exécuter des scripts d'action de réponse doit être activée et le bon paramètre doit être spécifié.
Après les configurations effectuées, le nombre d'échecs d'authentification a diminué de 80 %. Les profits ? Énormes !
Parfois, une légère hausse apparaît à nouveau, mais cela est dû à l'émergence de nouvelles sources d'attaques. Ensuite, tout retombe.
Au cours de la semaine, 66 adresses IP ont été ajoutées aux règles du pare-feu.
Ci-dessous, un tableau avec 10 noms d'utilisateur courants qui ont été utilisés pour des tentatives d'authentification.
Nom d'utilisateur
Le nombre
En pourcentage
administrator
1220235
40.78
admin
672109
22.46
user
219870
7.35
contoso
126088
4.21
contoso.com
73048
2.44
administrador
55319
1.85
serveur
39403
1.32
sgazlabdc01.contoso.com
32177
1.08
L'administrateur des
32377
1.08
sgazlabdc01
31259
1.04
Partagez dans les commentaires comment vous gérez la réponse aux menaces de sécurité informatique. Quel système utilisez-vous, et à quel point est-il pratique ?
Si vous souhaitez voir InTrust en action, via le formulaire de contact sur notre site ou écrivez-moi en privé.
Lisez nos autres articles sur le thème de la sécurité informatique :
(article populaire)
Source : habr.com
