![阻止黑客攻击](https://linux22.com/image/741809/%E9%98%BB%E6%AD%A2%E9%BB%91%E5%AE%A2%E6%94%BB%E5%87%BB.png)
我需要一些帮助。
我在我的安全日志中看到很多尝试登录。
这是运行 Windows 2008 R2 的相当新的 GoDaddy VPS 服务器。
参加者有各种用户 ID,且会重复。
日志条目如下所示:
日志名称:安全来源:Microsoft-Windows-Security-Auditing 日期:2019 年 8 月 23 日下午 5:43:31 事件 ID:4625 任务类别:登录级别:信息关键字:审核失败用户:N/A 计算机:s132-148-82-95.secureserver.net 描述:帐户登录失败。
主题:安全 ID:NULL SID 帐户名称:- 帐户域:- 登录 ID:0x0
登录类型:3
登录失败的帐户:安全 ID:NULL SID 帐户名称:管理员帐户域:
故障信息:故障原因:未知用户名或密码错误。状态:0xc000006d 子状态:0xc000006a
进程信息:调用者进程 ID:0x0 调用者进程名称:-
网络信息:工作站名称:MSTSC 源网络地址:- 源端口:-
详细身份验证信息:登录过程:NtLmSsp 身份验证包:NTLM 传输服务:- 包名称(仅限 NTLM):- 密钥长度:0
登录请求失败时会生成此事件。该事件在尝试访问的计算机上生成。
正如您所见,它没有提供有效的 IP 地址。
微软表示,NTLM 不与任何端口绑定。
我尝试过在防火墙中封锁 TCP 1-79、81-3388、3390-20000 和 UDP 1-20000 端口。但这并不能阻止攻击尝试。
我通过 RDP 进入服务器,并且只允许从防火墙中的我的 IP 地址进行访问。
帮助。
我不知道下一步该尝试什么。
我是否应该尝试阻止他们,还是应该忽略他们?
加里
答案1
您是否 100% 确定 RDP 受到防火墙 IP 限制?我的第一印象是有人试图通过 RDP 登录您的服务器。您确实需要检查哪些端口是开放的且可公开访问。
一种方法是在服务器上启动 Web 浏览器,转到GRC网站, 点击服务菜单并选择盾牌升起!。在下一页上,单击继续按钮。在打开的页面上,找到ShieldsUp 服务您可以扫描服务器的端口。一定要使用常用端口和所有服务端口按钮。另外输入3389输入框并点击用户指定的自定义端口探测。这将检查 RDP 是否开放且可公开访问。
我还建议您在防火墙上阻止所有端口的所有传入连接,然后根据需要有选择地打开端口。确保在执行此操作时不要阻止自己访问自己的服务器!
希望遵循这些步骤可以终止未经授权的登录尝试。祝你好运!
答案2
使用 wail2ban。它类似于 fail2ban,但适用于 Windows https://github.com/glasnt/wail2ban这是该项目的链接。但似乎开发已经停止了。如果我找到任何比 fail2ban 更好的替代方案,我会更新我的答案。与此同时,一定要试试 wail2ban。它会在 5 次失败尝试后暂时阻止登录失败的 IP 地址 10 分钟(条件、禁止时间等可以更改)。不要忘记将自己的 IP 列入白名单,因为如果您错误地输入了 5 次密码,您将被禁止 10 分钟(wail2ban 中设置的默认禁止时间)