1

在 Windows Server 的事件查看器中，我们发现了将近 30,000 多个日志，其事件 ID 为 4625 。提供了一个细节。每个都相似，但登录类型和进程名称不同。在防火墙中，我们已经阻止了除三个 RDP、DB 和 App Server 之外的所有端口。背后的原因是什么？我们觉得有人在攻击服务器并使服务器停机。是真的吗？如何控制这种威胁？每分钟产生 100 次事件。

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" /> 
  <EventID>4625</EventID> 
  <Version>0</Version> 
  <Level>0</Level> 
  <Task>12544</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x8010000000000000</Keywords> 
  <TimeCreated SystemTime="2016-04-02T04:59:46.124337300Z" /> 
  <EventRecordID>428136</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="468" ThreadID="532" /> 
  <Channel>Security</Channel> 
  <Computer>application-server</Computer> 
  <Security /> 
  </System>
- <EventData>
  <Data Name="SubjectUserSid">S-1-5-18</Data> 
  <Data Name="SubjectUserName">APPLICATION-SER$</Data> 
  <Data Name="SubjectDomainName">WORKGROUP</Data> 
  <Data Name="SubjectLogonId">0x3e7</Data> 
  <Data Name="TargetUserSid">S-1-0-0</Data> 
  <Data Name="TargetUserName">Administrator</Data> 
  <Data Name="TargetDomainName">APPLICATION-SER</Data> 
  <Data Name="Status">0xc000006d</Data> 
  <Data Name="FailureReason">%%2313</Data> 
  <Data Name="SubStatus">0xc000006a</Data> 
  <Data Name="LogonType">10</Data> 
  <Data Name="LogonProcessName">User32</Data> 
  <Data Name="AuthenticationPackageName">Negotiate</Data> 
  <Data Name="WorkstationName">APPLICATION-SER</Data> 
  <Data Name="TransmittedServices">-</Data> 
  <Data Name="LmPackageName">-</Data> 
  <Data Name="KeyLength">0</Data> 
  <Data Name="ProcessId">0xd4c</Data> 
  <Data Name="ProcessName">C:\Windows\System32\winlogon.exe</Data> 
  <Data Name="IpAddress">198.217.30.23</Data> 
  <Data Name="IpPort">55751</Data> 
  </EventData>
  </Event>
4

0 回答 0