MIn of meer toevallig zie ik in mijn security log van mijn server dat er sinds de middag heel veel audit failures zijn. Ze zien er zo uit:
An account failed to log on.
Subject:
Security ID: SYSTEM
Account Name: STONEHENGE$
Account Domain: MYDOMAIN
Logon ID: 0x3e7
Logon Type: 10
Account For Which Logon Failed:
Security ID: NULL SID
Account Name: owner
Account Domain: STONEHENGE
Failure Information:
Failure Reason: Unknown user name or bad password.
Status: 0xc000006d
Sub Status: 0xc0000064
Process Information:
Caller Process ID: 0x2b1c
Caller Process Name: C:\Windows\System32\winlogon.exe
Network Information:
Workstation Name: STONEHENGE
Source Network Address: 91.215.25.235
Source Port: 3320
Detailed Authentication Information:
Logon Process: User32
Authentication Package: Negotiate
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
De account name die faalt is steeds anders 'admin, administrator, owner, user1,user2 etc).
En ook de source port wijzigt steeds.
Lijkt me dat iemand probeert binnen te komen (rdp??)
whois over 91.215.25.235
person: Dmytro Nikirsa
address: Ukraine, Chernivtsi
address: 114A/218, Nezalezhnosti ave.
phone: +38 0372 558341
nic-hdl: DMNI-RIPE
org: ORG-PFV1-RIPE
mnt-by: FENIXVT-MNT
source: RIPE # Filtered
inetnum: 91.215.24.0 - 91.215.27.255
Ik hen nu een inbound firewall rule om alles van 91.215.24.0 - 91.215.27.255 te blokken in mijn firewall.
De juiste oplossing? De reden is denk ik dat ik een standard RDP poort gebruik. Maar dat moet weer omdat die port weer open staat op mijn werk en anders kan ik er dus niet bij komen. Of is er nog iets anders dat ik kan/moet doen?
Thanks
Ben
An account failed to log on.
Subject:
Security ID: SYSTEM
Account Name: STONEHENGE$
Account Domain: MYDOMAIN
Logon ID: 0x3e7
Logon Type: 10
Account For Which Logon Failed:
Security ID: NULL SID
Account Name: owner
Account Domain: STONEHENGE
Failure Information:
Failure Reason: Unknown user name or bad password.
Status: 0xc000006d
Sub Status: 0xc0000064
Process Information:
Caller Process ID: 0x2b1c
Caller Process Name: C:\Windows\System32\winlogon.exe
Network Information:
Workstation Name: STONEHENGE
Source Network Address: 91.215.25.235
Source Port: 3320
Detailed Authentication Information:
Logon Process: User32
Authentication Package: Negotiate
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
De account name die faalt is steeds anders 'admin, administrator, owner, user1,user2 etc).
En ook de source port wijzigt steeds.
Lijkt me dat iemand probeert binnen te komen (rdp??)
whois over 91.215.25.235
person: Dmytro Nikirsa
address: Ukraine, Chernivtsi
address: 114A/218, Nezalezhnosti ave.
phone: +38 0372 558341
nic-hdl: DMNI-RIPE
org: ORG-PFV1-RIPE
mnt-by: FENIXVT-MNT
source: RIPE # Filtered
inetnum: 91.215.24.0 - 91.215.27.255
Ik hen nu een inbound firewall rule om alles van 91.215.24.0 - 91.215.27.255 te blokken in mijn firewall.
De juiste oplossing? De reden is denk ik dat ik een standard RDP poort gebruik. Maar dat moet weer omdat die port weer open staat op mijn werk en anders kan ik er dus niet bij komen. Of is er nog iets anders dat ik kan/moet doen?
Thanks
Ben