[решено] Пытаются взломать сервер, как поступить?

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Windows Server 2008/2008 R2 (http://forum.oszone.net/forumdisplay.php?f=97)

Пытаются взломать сервер, как поступить?

Сервер 2008R2 с RDP
Некоторое время назад директор перестал подключаться к серверу через remoteAPP, rdp
Посмотрел логи аудита (прикреплены к теме): там явно видно перебор на взлом.
Проверил IP, большая часть Китай и Малайзия, но попался и российский ip, бауманский университет )))

Как поступить?
Не совсем понятно почему отвалился доступ у директора. Возможно из-за перебора где-то логин его блокируется. логин DIR. Куда копать?
Другие сотрудники логиняться нормально. Учётка директора с других ПК коннектиться (не входил, пароля не помню)
Ноут директора на хрюше, заведён в другой домен вообще. У нас DC нет, просто рабочая группа.

ipconfig /all

Цитата:

Цитата Sermion

Не совсем понятно почему отвалился доступ у директора. Возможно из-за перебора где-то логин его блокируется. логин DIR. Куда копать? »

в более сложный логин.

Цитата:

Цитата Sermion

Учётка директора с других ПК коннектиться (не входил, пароля не помню) »

не поняла.

Цитата:

Цитата Sermion

Ноут директора на хрюше, заведён в другой домен вообще. У нас DC нет, просто рабочая группа. »

это ни на что не влияет.

Цитата:

Цитата Sermion

Как поступить? »

VPN?
или доступ к 3389 с определённых адресов.

Цитата:

Цитата Sermion

там явно видно перебор на взлом »

если порт выведен во внешку - сменить порт,

Цитата:

Цитата cameron

VPN?
или доступ к 3389 с определённых адресов. »

. Не думаю, что имеет место быть целенаправленный взлом, скорее - ddos'ят. Для твоей ОС при соблюдении мер безопасности - бесполезная трата времени.

Цитата:

Цитата ShaddyR

скорее - ddos'ят »

на 3389? О_о
это брутфорс в числом виде, какой ддос на порты RDP? :yes:

во вложении файл событий журнала безопасности сервера. там разные порты, не только 3389.
Пришёл к выводу что учётка всё же не причём, но надо попробывать залогиниться под другой с ноута директора.
Про безопасность "бесполезная трата времени" согласен, самое интересное что на маршрутизаторе проброшены порты только для rdp

Цитата:

Цитата cameron

на 3389? О_о »

Цитата:

В версиях RDP до 6.0 при подключении по RDP клиенту до аутентификации надо показать окно входа – т.е. вначале показать, а потом уже он попробует зайти в систему. Это создаёт простую уязвимость – сервер можно перегрузить пачкой запросов “а дай-ка мне попробовать новую сессию начать”, и он будет вынужден на все запросы отвечать созданием сессии и ожиданием входа пользователя. Фактически, это возможность DoS.

это так, вкратце)

1. Смена порта против китайцев не поможет, доказано на опыте.
2. Если я правильно смог перевести текст вопроса, директор работает на Windows XP, небезопасной Home. Думаю, на сервере не включён механизм Network Level Authentication. Это следует сделать незамедлительно, иначе взлом через прослушивание трафика — секундное дело. На XP RDP NLA включается через реестр.

WindowsNT, Не в тему но думаю стоит спросить.
А вот для Andoroid есть прога RDP которая бы поддерживала NLA? А то у меня сейчас стоит 2X Client но он этого не поддерживает а очень хотелось бы.

Dear Cruzenshtern,
Андроиды выходят за рамки моей компетенции.

как победить, не пойму
Естественно, такого пользователя нет....
Network Level Authentication включил, посмотрим...

С ноута директора RDP к другим внешним серверам подключается, к своему в локалке нет. RDP обновил с мелкомягкого до 7-й версии (последняя для хрюши).
ХЗ куда копать.

Sermion, рубани ип на роутере.

Цитата:

Цитата Cruzenshtern

рубани ип на роутере. »

на кой? Только полный кретин будет брутфорсить со своего IP.

Ошибка на клиенте

Клиент

Сервер

Роут

Нарыл support.microsoft.com/kb/329896
Есть вероятность того, что это причина и решение?

Ах, да ещё ВОТ человек сталкнулся с аналогичной проблемой, но решение только на сервере и про РДП ни слова