Почему неожиданно перезагружается сервер Windows Server 2012R2?

Question

[Сергей Программист 1С]

Установил Windows Server 2012 R2
На сервер по терминалу работают пользователи. В течении дня сервак неожиданно уходит в ребут с ошибкой ниже. Как вылечить?

Критический системный процесс "C:\Windows\system32\lsass.exe" завершился ошибкой с кодом состояния c0000005.  Необходимо перезагрузить компьютер.


Имя сбойного приложения: lsass.exe, версия: 6.3.9600.17415, метка времени: 0x545042fe
Имя сбойного модуля: schannel.dll, версия: 6.3.9600.18659, метка времени: 0x58e670f2
Код исключения: 0xc0000005
Смещение ошибки: 0x000000000000148d
Идентификатор сбойного процесса: 0x22c
Время запуска сбойного приложения: 0x01d3cb3bef28d0de
Путь сбойного приложения: C:\Windows\system32\lsass.exe
Путь сбойного модуля: C:\Windows\system32\schannel.dll
Идентификатор отчета: 68f184a2-37ed-11e8-80f8-901b0ecbd415
Полное имя сбойного пакета: 
Код приложения, связанного со сбойным пакетом: 

Пакет безопасности Microsoft Unified Security Protocol Provider создал исключение. Данные содержатся в сведениях исключения.

Comments

[Dartar]

Уточните общую ситуацию.
Из комментариев понял, что сервер висит с открытым RDP в интернет. - Это очень плохо.
Если много пользователей по RDP, которые находятся за пределами локальной сети, то Вам требуется организовать DMZ где разместить сервер VPN и всех кто должен работать из за пределов пускать только через эту схему.

Answer 1

[Михаил Туманов]

Криптопровайдер на сервере есть?
"Внезапная перезагрузка сервера 2012R2 Standart!"

Ключевая строка для поиска
"Путь сбойного модуля: C:\Windows\system32\schannel.dll"

"Победил откатил ВСЕ обновления, и накатил заново! ПОБЕДА"

Comments

[Михаил Туманов]

https://social.technet.microsoft.com/Forums/ru-RU/...

[Сергей Программист 1С]

Да ViPNet CSP стоит. Бух отчетность сдает в 1С. Блин, их развести как-то нельзя да? Чтобы этот випнет только под ней работал? Снести то я попробую конечно...но подпись нужна...

[Максим Гришин]

Мда, все равно что переустановить ОС. Но вариант есть, что ОП наткнулся на любителей поэксплойтить открытый RDP через кривые пакеты SSL и недопатченный schannel.

[Сергей Программист 1С]

Максим Гришин, ))) вангуешь, реально рдп открытый (порт 3389)...раз в день где-то падает...потом затишье...как быть?

[Сергей Программист 1С]

недопатченный schannel.

т.е. можно что-то сделать?

[Сергей Программист 1С]

отсюда:

От разработчиков:
Вначале ставим КриптоПро (4.x) потом ViPnet (4.x)
Если не так перенакатываем ViPNet CSP
Regsvr32 /u itcssp
Для windows 8.1 проверяем ключ реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\OSConfig\Security Packages
Ни sspp ни cpssl быть не должно, должен быть schannel

Может поможет?

[Михаил Туманов]

Сергей Программист 1С, Из простого - поменять номер порта по-умолчанию на RDP.
Уязвимости это не закроет, но осложнит работу роботов.
Порт по-умолчанию сканируется всеми роботами на эксплойты.
Смена порта уменьшает количество попыток подцепиться к порту.

[xmoonlight]

Сергей Программист 1С, mtumanov,
1. Доступ только с доверенных IP на RDP: здесь
2. Port Knocking на Mikrotik

[Сергей Программист 1С]

xmoonlight, доверенные не очень удобно, слишком много сотрудников на удаленках по сотовому инету. А как порт сменить грамотно? киньте инструкцию пжл.

[xmoonlight]

Сергей Программист 1С, ловите

[Михаил Туманов]

Сергей Программист 1С, "много сотрудников на удаленках по сотовому инету. "

Если количество IP адресов конечно (не весь мир) то вполне реально на маршрутизаторе ограничить диапазон подсетей, с которого есть доступ на RDP. (белый список)
Если введение белого списка невозможно, то можно вести чёрный список.
Хорошие результаты даёт внесение в чёрный список подсетей провайдеров Китая. После этого количество попыток взлома заметно уменьшается.

Если на сервере включить расширенное протоколирование событий RDP, то должны быть IP адреса с которых пытались установить соединение. Вот их и блокировать, сразу подсетями.

[xmoonlight]

Михаил Туманов, ИМХО: RDP - или White-List IP, или VPN, или port-knocking...

[Михаил Туманов]

Сергей Программист 1С, Задача обезопасить RDP достаточно типовая, решений много.
Главное выбрать подходящее по бюджету и возможности внедрения.
Вот, к примеру.
"Как узнать что/что пытается авторизироваться?
Всем спасибо. Брутили RDP, в штатном фаерволе в правилах касаемых рдп и фтп в вкладке "область" указал свой IP.
После этого все прекратилось.

Поставил еще эту единственную в своем роде бесплатную программку:

Windows-IP-Ban-Service https://github.com/jjxtra/Windows-IP-Ban-Service
"
Как узнать что/что пытается авторизироваться?

[Сергей Программист 1С]

Итог:
убрал поддержку TLS в випнете - снес компонент, как посоветовали на форуме випнете, думаю это основная причина, ну и порт подменил. Пока полет нормальный.
Всем СПАСИБО!!!

Answer 2

[Сергей Программист 1С]

Может кто-то знает как отмониторить память или процессы, понять причину...