![域控制器上发生数千个 4776 事件](https://linux22.com/image/777858/%E5%9F%9F%E6%8E%A7%E5%88%B6%E5%99%A8%E4%B8%8A%E5%8F%91%E7%94%9F%E6%95%B0%E5%8D%83%E4%B8%AA%204776%20%E4%BA%8B%E4%BB%B6.png)
我们的域控制器上有数千个 4776 事件。所有事件都显示 3 个工作站名称 - 随机且使用相同的用户帐户名称 - 我们的域名。
域控制器已启用 RDP,可从外部访问。看到这些警报后,我们更改了端口。但这些事件仍在继续。
关于如何追踪来源并修复此问题的任何建议。谢谢
答案1
这些事件表明使用 NTLM 登录,身份验证的来源将是事件中的“源工作站”。检查工作站以查看应用程序是否重复进行身份验证。您应该能够将提到的工作站脱机,并且不再看到这些事件。
我们的域控制器上有数千个 4776 事件。所有事件都显示 3 个工作站名称 - 随机且使用相同的用户帐户名称 - 我们的域名。
域控制器已启用 RDP,可从外部访问。看到这些警报后,我们更改了端口。但这些事件仍在继续。
关于如何追踪来源并修复此问题的任何建议。谢谢
这些事件表明使用 NTLM 登录,身份验证的来源将是事件中的“源工作站”。检查工作站以查看应用程序是否重复进行身份验证。您应该能够将提到的工作站脱机,并且不再看到这些事件。