Как защититься от подбора пароля на Windows 2008?

Question

[Максим Шишков]

Добрый день. Появилась проблема - пользователи 1С, работающие по RDP не могли подключиться к серверу. Сервер на Windows 2008 R2. В логах чисто, кроме раздела "Безопасность". В нем полно неудачных попыток входа, промежуток между записями 1-2 секунды. Имена пользователей в логах не существуют на этом сервере. Порт на внешке не стандартный (58342). Как можно получить IP адрес виновного пк?

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" /> 
  <EventID>4625</EventID> 
  <Version>0</Version> 
  <Level>0</Level> 
  <Task>12544</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x8010000000000000</Keywords> 
  <TimeCreated SystemTime="2018-08-27T23:34:46.845715300Z" /> 
  <EventRecordID>4882562</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="804" ThreadID="6888" /> 
  <Channel>Security</Channel> 
  <Computer>IZH-HOST</Computer> 
  <Security /> 
  </System>
- <EventData>
  <Data Name="SubjectUserSid">S-1-0-0</Data> 
  <Data Name="SubjectUserName">-</Data> 
  <Data Name="SubjectDomainName">-</Data> 
  <Data Name="SubjectLogonId">0x0</Data> 
  <Data Name="TargetUserSid">S-1-0-0</Data> 
  <Data Name="TargetUserName">АДМИНИСТРАТОР</Data> 
  <Data Name="TargetDomainName" /> 
  <Data Name="Status">0xc000006d</Data> 
  <Data Name="FailureReason">%%2313</Data> 
  <Data Name="SubStatus">0xc000006a</Data> 
  <Data Name="LogonType">3</Data> 
  <Data Name="LogonProcessName">NtLmSsp</Data> 
  <Data Name="AuthenticationPackageName">NTLM</Data> 
  <Data Name="WorkstationName" /> 
  <Data Name="TransmittedServices">-</Data> 
  <Data Name="LmPackageName">-</Data> 
  <Data Name="KeyLength">0</Data> 
  <Data Name="ProcessId">0x0</Data> 
  <Data Name="ProcessName">-</Data> 
  <Data Name="IpAddress">-</Data> 
  <Data Name="IpPort">-</Data> 
  </EventData>
  </Event>

Comments

[Ezhyg]

неудачных попыток входа

Так разве это не говорит - "защита работает!" О_о

Answer 1

[Вадим Чопоров]

ip виновного - никак. К вам прилетает пакет, в котором ip отправителя - это последнее маршрутизирующее устройство. Так сеть работает.
А по поводу защиты - политики, файрвол. К примеру парольная политика, на количество неверных попыток ввода пароля.
Чтобы к вам не стучались - вариант только один - закрыть входящие подключения, поменять порт и т.п.))