![来自亚洲各地的 IP 的匿名登录尝试,我该如何阻止他们这样做?](https://linux22.com/image/536384/%E6%9D%A5%E8%87%AA%E4%BA%9A%E6%B4%B2%E5%90%84%E5%9C%B0%E7%9A%84%20IP%20%E7%9A%84%E5%8C%BF%E5%90%8D%E7%99%BB%E5%BD%95%E5%B0%9D%E8%AF%95%EF%BC%8C%E6%88%91%E8%AF%A5%E5%A6%82%E4%BD%95%E9%98%BB%E6%AD%A2%E4%BB%96%E4%BB%AC%E8%BF%99%E6%A0%B7%E5%81%9A%EF%BC%9F.png)
我们曾遭到俄罗斯黑客的一次成功攻击,我们的一台服务器被用作进一步攻击的集结地,实际上他们以某种方式设法访问了名为“服务”的 Windows 帐户。我将该服务器下线,因为它是我们的 SMTP 服务器,不再需要它(现在已安装第三方系统)。
现在,我们的其他一些服务器在事件查看器中发现了这些匿名登录尝试,这些尝试的 IP 地址来自中国、罗马尼亚、意大利(我猜也有一些欧洲人)... 我不知道这些人想要什么,但他们就是不停地攻击服务器。我该如何防止这种情况发生?
我不希望我们的服务器再次受到攻击,上次我们的主机将整个硬件节点从网络上移除,因为它正在攻击其他系统,导致我们的服务中断,这真的很糟糕。
我该如何阻止这些陌生的 IP 地址尝试访问我的服务器?
它们是运行在 Parallels Virtuozzo HW 节点上的 Windows Server 2003 R2 Enterprise“容器”(虚拟机),如果这有区别的话。当然,我可以单独配置每台机器,就好像它们是自己的服务器一样……
更新:新的登录尝试仍在发生,现在这些尝试可以追溯到乌克兰...WTF...事件如下:
Successful Network Logon:
User Name:
Domain:
Logon ID: (0x0,0xB4FEB30C)
Logon Type: 3
Logon Process: NtLmSsp
Authentication Package: NTLM
Workstation Name: REANIMAT-328817
Logon GUID: -
Caller User Name: -
Caller Domain: -
Caller Logon ID: -
Caller Process ID: -
Transited Services: -
Source Network Address: 94.179.189.117
Source Port: 0
For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.
这是我在法国发现的一个:
Event Type: Success Audit
Event Source: Security
Event Category: Logon/Logoff
Event ID: 540
Date: 1/20/2011
Time: 11:09:50 AM
User: NT AUTHORITY\ANONYMOUS LOGON
Computer: QA
Description:
Successful Network Logon:
User Name:
Domain:
Logon ID: (0x0,0xB35D8539)
Logon Type: 3
Logon Process: NtLmSsp
Authentication Package: NTLM
Workstation Name: COMPUTER
Logon GUID: -
Caller User Name: -
Caller Domain: -
Caller Logon ID: -
Caller Process ID: -
Transited Services: -
Source Network Address: 82.238.39.154
Source Port: 0
For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.
答案1
您确实应该在路由器/防火墙上阻止这些,如果您不需要从任何地方访问这些服务器,那么它们应该只接受来自您的 IP 范围的连接。请联系您的托管服务提供商,并尽快设置这些规则。
答案2
您看到的是使用终端服务 (RDP) 访问系统的暴力攻击。从您的 Windows PC:转到开始,键入运行,然后键入 mstsc 并单击回车。输入您的服务器地址。当提示输入用户名和密码时,只需单击关闭对话框。然后,查看服务器的安全日志。您将看到来自您的 IP 地址的相同事件。您仍然需要在防火墙处阻止这些小混混。每次有人尝试进行 RDP 会话时,Windows 都会启动 winlogon.exe 和 csrss.exe(监视 taskmgr)。如果他们每秒尝试登录几次,您的系统就会变慢。
答案3
警告:这些尝试都是成功的,这意味着他们登录了您的服务器。此时,我会将服务器脱机并修改防火墙规则,然后立即修补服务器。听起来好像您只想向全世界开放端口 80,因此只需打开该端口并拒绝您看到大量失败请求的任何国家/地区的 IP 范围,包括乌克兰范围:94.0.0.0/8 和此 IP:82.238.39.154。他们仍然可以绕过它,但这会给他们带来更多麻烦。
此外,至少需要审核这两台机器是否干净:REANIMAT-328817 和 COMPUTER。
阅读完更多信息后,我发现您似乎没有安装合适的防火墙解决方案或正确配置。我会在服务器重新上线之前执行上述操作并实施适当的防火墙。此外,您真的不能再信任这些机器了,因为它们现在可能有后门;是时候重新映像或重新安装操作系统了,等等……