Bárki, aki megpróbált már virtuális gépet futtatni a felhőben, jól tudja, hogy egy szabványos RDP-portot, ha nyitva hagyunk, szinte azonnal megtámadják a jelszóval kapcsolatos brute force kísérletek a világ különböző IP-címeiről.
Ebben a cikkben megmutatom, hogyan kell Egy új szabály tűzfalhoz való hozzáadásával konfigurálhat automatikus választ a brutális jelszóra. Az InTrust az strukturálatlan adatok gyűjtésére, elemzésére és tárolására, amely már több száz előre meghatározott reakcióval rendelkezik a különféle típusú támadásokra.
A Quest InTrustban konfigurálhatja a válaszműveleteket, amikor egy szabály aktiválódik. A naplógyűjtő ügynöktől az InTrust üzenetet kap egy munkaállomáson vagy kiszolgálón történt sikertelen engedélyezési kísérletről. Új IP-címek tűzfalhoz való hozzáadásának konfigurálásához át kell másolnia egy meglévő egyéni szabályt több sikertelen engedélyezés észlelésére, és meg kell nyitnia egy másolatot szerkesztésre:
A Windows naplóiban lévő események az InsertionString nevet használják. (ez egy sikertelen bejelentkezés a rendszerbe), és látni fogja, hogy a minket érdeklő mezők az InsertionString14-ben (munkaállomás neve) és az InsertionString20-ban (forrás hálózati címe) vannak tárolva.Internetről történő támadáskor a Munkaállomás neve mezőben nagy valószínűséggel legyen üres, ezért ez a hely fontos, helyettesítse a Source Network Address értékét.
Így néz ki a 4625-ös esemény szövege:
An account failed to log on.
Subject:
Security ID: S-1-5-21-1135140816-2109348461-2107143693-500
Account Name: ALebovsky
Account Domain: LOGISTICS
Logon ID: 0x2a88a
Logon Type: 2
Account For Which Logon Failed:
Security ID: S-1-0-0
Account Name: Paul
Account Domain: LOGISTICS
Failure Information:
Failure Reason: Account locked out.
Status: 0xc0000234
Sub Status: 0x0
Process Information:
Caller Process ID: 0x3f8
Caller Process Name: C:WindowsSystem32svchost.exe
Network Information:
Workstation Name: DCC1
Source Network Address: ::1
Source Port: 0
Detailed Authentication Information:
Logon Process: seclogo
Authentication Package: Negotiate
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
This event is generated when a logon request fails. It is generated on the computer where access was attempted.
The Subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.
The Logon Type field indicates the kind of logon that was requested. The most common types are 2 (interactive) and 3 (network).
The Process Information fields indicate which account and process on the system requested the logon.
The Network Information fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.
The authentication information fields provide detailed information about this specific logon request.
- Transited services indicate which intermediate services have participated in this logon request.
- Package name indicates which sub-protocol was used among the NTLM protocols.
- Key length indicates the length of the generated session key. This will be 0 if no session key was requested.
Ezenkívül hozzáadjuk a Source Network Address értéket az esemény szövegéhez.
Ezután hozzá kell adnia egy szkriptet, amely blokkolja az IP-címet a Windows tűzfalban. Az alábbiakban egy erre használható példa látható.
Szkript a tűzfal beállításához
param(
[Parameter(Mandatory = $true)]
[ValidateNotNullOrEmpty()]
[string]
$SourceAddress
)
$SourceAddress = $SourceAddress.Trim()
$ErrorActionPreference = 'Stop'
$ruleName = 'Quest-InTrust-Block-Failed-Logons'
$ruleDisplayName = 'Quest InTrust: Blocks IP addresses from failed logons'
function Get-BlockedIps {
(Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue | get-netfirewalladdressfilter).RemoteAddress
}
$blockedIps = Get-BlockedIps
$allIps = [array]$SourceAddress + [array]$blockedIps | Select-Object -Unique | Sort-Object
if (Get-NetFirewallRule -Name $ruleName -ErrorAction SilentlyContinue) {
Set-NetFirewallRule -Name $ruleName -RemoteAddress $allIps
} else {
New-NetFirewallRule -Name $ruleName -DisplayName $ruleDisplayName -Direction Inbound -Action Block -RemoteAddress $allIps
}
Most már módosíthatja a szabály nevét és leírását, hogy elkerülje a későbbi félreértéseket.
Most hozzá kell adnia ezt a parancsfájlt válaszműveletként a szabályhoz, engedélyeznie kell a szabályt, és biztosítania kell, hogy a megfelelő szabály engedélyezve legyen a valós idejű megfigyelési házirendben. Az ügynöknek engedélyezni kell egy válaszszkript futtatását, és meg kell adnia a megfelelő paramétert.
A beállítások elvégzése után a sikertelen engedélyezések száma 80%-kal csökkent. Nyereség? Milyen nagyszerű!
Néha ismét előfordul egy kis növekedés, de ez az új támadási források megjelenésének köszönhető. Aztán minden újra hanyatlásnak indul.
Az egyhetes munka során 66 IP-címet adtak hozzá a tűzfalszabályhoz.
Az alábbiakban egy táblázat látható 10 gyakori felhasználónévvel, amelyeket az engedélyezési kísérletekhez használtak.
Felhasználónév
Szám
Százalékban
adminisztrátor
1220235
40.78
admin
672109
22.46
használó
219870
7.35
contoso
126088
4.21
contoso.com
73048
2.44
adminisztrátor
55319
1.85
szerver
39403
1.32
sgazlabdc01.contoso.com
32177
1.08
administrateur
32377
1.08
sgazlabdc01
31259
1.04
Mondja el nekünk a megjegyzésekben, hogyan reagál az információbiztonsági fenyegetésekre. Milyen rendszert használsz és mennyire kényelmes?
Ha érdekli az InTrust működés közben, weboldalunkon található visszajelzési űrlapon vagy írjon nekem személyes üzenetben.
Olvassa el további információbiztonsági cikkeinket:
(népszerű cikk)
Forrás: will.com