☰

来自亚洲各地的 IP 的匿名登录尝试，我该如何阻止他们这样做？

tag-icon • tag-icon windows-server-2003 security virtuozzo
来自亚洲各地的 IP 的匿名登录尝试，我该如何阻止他们这样做？

我们曾遭到俄罗斯黑客的一次成功攻击，我们的一台服务器被用作进一步攻击的集结地，实际上他们以某种方式设法访问了名为“服务”的 Windows 帐户。我将该服务器下线，因为它是我们的 SMTP 服务器，不再需要它（现在已安装第三方系统）。

现在，我们的其他一些服务器在事件查看器中发现了这些匿名登录尝试，这些尝试的 IP 地址来自中国、罗马尼亚、意大利（我猜也有一些欧洲人）... 我不知道这些人想要什么，但他们就是不停地攻击服务器。我该如何防止这种情况发生？

我不希望我们的服务器再次受到攻击，上次我们的主机将整个硬件节点从网络上移除，因为它正在攻击其他系统，导致我们的服务中断，这真的很糟糕。

我该如何阻止这些陌生的 IP 地址尝试访问我的服务器？

它们是运行在 Parallels Virtuozzo HW 节点上的 Windows Server 2003 R2 Enterprise“容器”（虚拟机），如果这有区别的话。当然，我可以单独配置每台机器，就好像它们是自己的服务器一样……

更新：新的登录尝试仍在发生，现在这些尝试可以追溯到乌克兰...WTF...事件如下：

Successful Network Logon:
    User Name:  
    Domain:     
    Logon ID:       (0x0,0xB4FEB30C)
    Logon Type: 3
    Logon Process:  NtLmSsp 
    Authentication Package: NTLM
    Workstation Name:   REANIMAT-328817
    Logon GUID: -
    Caller User Name:   -
    Caller Domain:  -
    Caller Logon ID:    -
    Caller Process ID: -
    Transited Services: -
    Source Network Address: 94.179.189.117
    Source Port:    0


For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.

这是我在法国发现的一个：

Event Type: Success Audit
Event Source:   Security
Event Category: Logon/Logoff 
Event ID:   540
Date:       1/20/2011
Time:       11:09:50 AM
User:       NT AUTHORITY\ANONYMOUS LOGON
Computer:   QA
Description:
Successful Network Logon:
    User Name:  
    Domain:     
    Logon ID:       (0x0,0xB35D8539)
    Logon Type: 3
    Logon Process:  NtLmSsp 
    Authentication Package: NTLM
    Workstation Name:   COMPUTER
    Logon GUID: -
    Caller User Name:   -
    Caller Domain:  -
    Caller Logon ID:    -
    Caller Process ID: -
    Transited Services: -
    Source Network Address: 82.238.39.154
    Source Port:    0


For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.

答案1

您确实应该在路由器/防火墙上阻止这些，如果您不需要从任何地方访问这些服务器，那么它们应该只接受来自您的 IP 范围的连接。请联系您的托管服务提供商，并尽快设置这些规则。

答案2

您看到的是使用终端服务 (RDP) 访问系统的暴力攻击。从您的 Windows PC：转到开始，键入运行，然后键入 mstsc 并单击回车。输入您的服务器地址。当提示输入用户名和密码时，只需单击关闭对话框。然后，查看服务器的安全日志。您将看到来自您的 IP 地址的相同事件。您仍然需要在防火墙处阻止这些小混混。每次有人尝试进行 RDP 会话时，Windows 都会启动 winlogon.exe 和 csrss.exe（监视 taskmgr）。如果他们每秒尝试登录几次，您的系统就会变慢。

答案3

警告：这些尝试都是成功的，这意味着他们登录了您的服务器。此时，我会将服务器脱机并修改防火墙规则，然后立即修补服务器。听起来好像您只想向全世界开放端口 80，因此只需打开该端口并拒绝您看到大量失败请求的任何国家/地区的 IP 范围，包括乌克兰范围：94.0.0.0/8 和此 IP：82.238.39.154。他们仍然可以绕过它，但这会给他们带来更多麻烦。

此外，至少需要审核这两台机器是否干净：REANIMAT-328817 和 COMPUTER。

阅读完更多信息后，我发现您似乎没有安装合适的防火墙解决方案或正确配置。我会在服务器重新上线之前执行上述操作并实施适当的防火墙。此外，您真的不能再信任这些机器了，因为它们现在可能有后门；是时候重新映像或重新安装操作系统了，等等……

相关内容