Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

3205 fehlgeschlagene Anmeldungen in kurzer Zeit - unbekannter Nutzername

Frage Microsoft Windows Server

Mitglied: ctietje

ctietje (Level 1) - Jetzt verbinden

18.11.2011 um 17:41 Uhr, 4336 Aufrufe, 8 Kommentare

Wir bekommen von Zeit zu Zeit, etwa einmal im Monat, etliche tausend fehlschlagende Anmeldungen, obwohl weder Remotedesktop noch TSWeb geöffnet sind. Freigegeben sind nur Port 21, 25, 80, 443 und 1723.

Meldungen im Ereignisprotokoll wie hier:

Ereigniskennung 529

3205 Mal
Fehlgeschlagene Anmeldung:
Grund: Unbekannter Benutzername oder falsches Kennwort
Benutzername: z. B. megan - variiert, auch dave, usuario, anna, director, reception oder qwerty
Domäne:
Anmeldetyp: 3
Anmeldevorgang: Advapi
Authentifizierungspaket: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
Name der Arbeitsstation: SERVER
Aufruferbenutzername: SERVER$
Aufruferdomäne: UNSERE DOMÄNE
Aufruferanmeldekennung: (0x0,0x3E7)
Aufruferprozesskennung: 7364
Übertragene Dienste: -
Quellnetzwerkadresse: -
Quellport: -

Am 17.11. von 21:59:44 bis 22:01:46, also in 2 Minuten mit etwa 26 Anmeldungen pro Sekunde

Kann mir jemand helfen, wie man uns findet, über welches Tor die hereinkommen und wie man das sperren kann?
Mitglied: informatiker1989
18.11.2011 um 17:56 Uhr
Also ich würde sagen da versucht anscheinend jemand sich mit einem Wörterbuchangriff reinzuhacken.Würde als erstes mal Passwörter sicherer machen.Mindestens 10 Zeichen,Groß,klein,Zahlen,Sonderzeichen.Aber keine Wörter sondern lange wirre Kombinationen die keinen Sinn ergeben.


Wörterbuchangriff

Beim Wörterbuchangriff wird versucht, mit Hilfe elektronischer Wörterbücher Passwörter zu erraten. Da sich bei der Wahl von Passwörter auf Grund des menschlichen Faktors an der sprachlichen Umgebung orientiert wird, führten solche Angriffe in der Vergangenheit wesentlich schneller zum Erfolg als das Brute-Force-Cracking.

Als Gegenmaßnahme wurden Passwort-Policys (Passwortregeln) technisch durchgesetzt, die zusätzlich Ziffern und/oder Sonderzeichen sowie ggf. Großbuchstaben bei der Passwortwahl erfordern. Damit hat ein normaler Wörterbuchangriff keinen Erfolg mehr.
Bitte warten ..
Mitglied: ctietje
18.11.2011 um 18:03 Uhr
Wir haben eine solche Regel: Passwörter mindestens 8 Zeichen, Groß- und Kleinschreibung, Sonderzeichen müssen enthalten sein. Nur Erneuerung alle 42 Tage machen wir nicht.

Aber über welches Tor kommen dieser Angriff zum Server durch? VPN?
Bitte warten ..
Mitglied: keksdieb
18.11.2011 um 20:03 Uhr
Moin,

prüf mal deine Firewall auf offene Ports und mach alle zu, die nicht benötigt werden.
Des weiteren würde ich den schuldigen nicht immer im WWW suchen...

Unter Umständen hat sich ein Client PC bei euch im Netzwerk unbemerkt zu einem Zombierechner in einem Botnetz machen lassen und gewährt somit Fremden Rechner Zugriff auf euer Netzwerk.
Das kann durch eine Sicherheitslücke im Betriebssystem oder ein Schadprogramm kommen, dass der User versehentlich oder absichtlich runtergelassen hat.

Pauschal (und absolut ins blaue) Firewall zu machen und in den Logs der Firewall schauen, wer alles raus und wer alles rein möchte.

Gruß Keksdieb
Bitte warten ..
Mitglied: AndiEoh
19.11.2011 um 13:24 Uhr
Auf "SERVER" das Protokoll prüfen, auch das Anwendungsprotokoll welcher Service die Anmeldung entgegen nimmt. Kann auch z.B. IIS oder der FTP Dienst sein wenn Windows Authentifizierung erlaubt ist. Falls SERVER intern ist besteht die Möglichkeit das auf einer Station (Laptop etc.) ein Trojaner versucht Dateishares zu infizieren. Dafür spricht z.B. das nur sporadische Auftreten mit hoher Anmeldefrequenz und eher aus dem englischsprachigen geläufigen Benutzernamen.
Bitte warten ..
Mitglied: ctietje
20.11.2011 um 18:59 Uhr
alles geprüft, keine weiteren Einträge, außer denen, die ich oben im ersten Post aufgeführt habe.

Weder ein User war eingeloggt, noch ein Notebook, noch ist genau zu dieser Zeit in einem anderen Protokoll etwas geloggt worden.

Weiterhin ist ein F-Secure-Virenscanner auf dem Server, in Exchange und auf allen WS und Notebook aktiv.
Bitte warten ..
Mitglied: AndiEoh
21.11.2011 um 15:57 Uhr
Auch bei IIS, FTP, SMTP und ähnlichen die Logfiles geprüft? Zur Zeit ist z.B. wieder eine Welle mit Brute-Force auf SMTP Logins unterwegs, das würde genau passen...

Gruß

Andreas
Bitte warten ..
Mitglied: ground2er0
22.11.2011 um 16:59 Uhr
Was für eine Serverversion hast den?
Sicherheitsupdates Aktuell?
Wenn du dir sicher bist das es nicht von Intern kommt setz dich am Wochenende oder in der Nacht mal hin und mach einen Port nach dem anderen ZU und schau ob immernoch Angriffe reinkommen..
Bitte warten ..
Mitglied: ctietje
24.03.2012 um 08:20 Uhr
habe dann FTP- und Outlook-Web-Access-Ports zusätzlich geschlossen, jetzt gab es schon lange keine Angriffe mehr
Bitte warten ..
Ähnliche Inhalte
Windows Server
gelöst WSUS 2016 verabschiedet sich nach kurzer Zeit (6)

Frage von Enriqe zum Thema Windows Server ...

Windows Server
gelöst Windows Server 2012 R2 unbekannter unregelmäßiger Fehler (8)

Frage von soundso zum Thema Windows Server ...

Administrator.de Feedback
gelöst Anordnung von Antworten im Thread seit kurzer Zeit sonderbar (6)

Frage von DerWoWusste zum Thema Administrator.de Feedback ...

Neue Wissensbeiträge
Sicherheits-Tools

Sicherheitstest von Passwörtern für ganze DB-Tabellen

(1)

Tipp von gdconsult zum Thema Sicherheits-Tools ...

Peripheriegeräte

Was beachten bei der Wahl einer USV Anlage im Serverschrank

(9)

Tipp von zetboxit zum Thema Peripheriegeräte ...

Windows 10

Das Windows 10 Creators Update ist auf dem Weg

(6)

Anleitung von BassFishFox zum Thema Windows 10 ...

Heiß diskutierte Inhalte
Exchange Server
Exchange 2016 Standard Server 2012 R2 Hetzner Mail (36)

Frage von Datsspeed zum Thema Exchange Server ...

Verschlüsselung & Zertifikate
Mit Veracrypt eine zweite interne (non-system) Festplatte verschlüsseln (10)

Frage von Bernulf zum Thema Verschlüsselung & Zertifikate ...

Internet Domänen
Nameserver ein Geist? (6)

Frage von zelamedia zum Thema Internet Domänen ...

Microsoft Office
Übertrag in eine andere Tabelle (6)

Frage von charmeur zum Thema Microsoft Office ...