AD域控制器被猛烈抨击

Question

我的 Windows Server 2008 域控制器每分钟有数百次登录尝试。大多数情况下，IP 地址不在事件日志中，但偶尔出现的 IP 地址往往来自匿名冲浪站点。但是，当我们阻止 IP 地址时，攻击只会移动到不同的站点。所有的尝试都使用合法的帐户名。这会导致大量或帐户锁定。我可以将 Windows 防火墙配置为拒绝不在本地网络上的 IP 地址吗？

Answer 1

您应该将外围防火墙配置为不允许非内部 IP 访问您的域控制器（坦率地说，它们不应该访问您内部 IP 上的任何系统，它们应该转到 DMZ）。如果您没有在事件日志中获得 IP，您可能需要捕获数据包并确定这些攻击的来源。