![不断遭受黑客攻击(服务器 2008 R2)](https://linux22.com/image/637488/%E4%B8%8D%E6%96%AD%E9%81%AD%E5%8F%97%E9%BB%91%E5%AE%A2%E6%94%BB%E5%87%BB%EF%BC%88%E6%9C%8D%E5%8A%A1%E5%99%A8%202008%20R2%EF%BC%89.png)
简要总结一下过去两周发生的事情:我们注意到我们的 SQL Server 变得异常缓慢。这是我们本地的一个超级计算小组用来运行查询的关键机器。他们经常在我们大学外工作,与他人合作。我们还向他们的合作者提供直接访问权限,因此它位于公共 IP 空间中。
从 SQL 和 Windows 安全日志中注意到,有来自亚洲/中国地区的攻击试图获取访问权限,于是我们加强了管控,现在只允许 SQL 端口 1433 和 RDP 访问我们的校园网络和合作校园。
然而,似乎黑客攻击仍在继续。每分钟仍有 10-20 次尝试登录我们的 SQL 计算机。当我在事件查看器中查看安全日志时,它显示有大量的审核失败信息。
它们的事件 ID 均为 4776,并且没有提供太多详细信息。以下是示例事件日志:
The computer attempted to validate the credentials for an account.
Authentication Package: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
Logon Account: marvin
Source Workstation: FATBOY
Error Code: 0xc0000064
经过一番调查,似乎有人试图使用不存在的帐户登录。他们使用的登录帐户名称各不相同,很明显这是黑客的企图。他们使用的名称包括 Admin、administrator、sysadmin、accounting、office、billing 等。
现在,我的问题是,有没有办法可以防止或加强安全性,使网络外部的人甚至无法尝试登录我的服务器?我错误地认为我所要做的就是通过 Windows 防火墙加强 SQL 端口和 RDP 的安全性。我发现他们仍然可以尝试在不使用 RDP 的情况下访问机器。有没有人知道这是如何实现的,有办法阻止它吗?
我当系统管理员的时间不长,我的主管正在度假。我做了充分的研究,但仍然一无所获。上周,事件日志显示了更多有用的细节,例如源 IP 地址,这使我能够确定它们来自哪里,从而得出结论,这是一次明显的黑客攻击。
当前大量的登录尝试导致速度变慢,以至于我们客户端的查询超时。任何有关此问题的帮助或见解都将不胜感激。
谢谢你!
答案1
在服务器前面放置网络防火墙。仅使用 Windows 防火墙就像是把银行金库锁上,但前门却开着。您允许人们进入银行,而他们闯入金库只是时间问题。
在您的网络防火墙(您将要实施)中,只允许流量到您的合作伙伴连接所需的服务器端口(SQL - RDP)并且只允许来自其 IP 地址范围的流量。
运行数据包捕获以获取有关黑客攻击的更多详细信息。您可以在服务器上或另一个工作站上运行此操作(如果您将服务器交换机端口镜像到工作站交换机端口)。
您允许一群未经您审查的人访问您的服务器。您还允许他们的网络(未经审查)访问您的服务器。两者都可能是黑客攻击的来源。暂时阻止他们的访问,以查看这些攻击是否源自他们的网络。
答案2
是的。这就是所谓的防火墙,管理员应该自动知道这一点。安装防火墙,阻止所有您不想要的流量。显然您不会这样做。
除此之外-没有。