远程桌面登录失败事件 4625 未在 2008 终端服务服务器上记录 IP 地址

Question

远程桌面登录失败事件 4625 未在 2008 终端服务服务器上记录 IP 地址

Zon*_*e12 7 terminal-server logging windows-server-2008-r2

当我使用带有 ssl 的新远程桌面并尝试使用错误凭据登录时，它会按预期记录 4625 事件。问题是，它没有记录 IP 地址，所以我无法在我们的防火墙中阻止恶意登录。事件看起来像这样：

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
    <System>
        <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{00000000-0000-0000-0000-000000000000}" /> 
        <EventID>4625</EventID> 
        <Version>0</Version> 
        <Level>0</Level> 
        <Task>12544</Task> 
        <Opcode>0</Opcode> 
        <Keywords>0x8010000000000000</Keywords> 
        <TimeCreated SystemTime="2012-04-13T06:52:36.499113600Z" /> 
        <EventRecordID>467553</EventRecordID> 
        <Correlation /> 
        <Execution ProcessID="544" ThreadID="596" /> 
        <Channel>Security</Channel> 
        <Computer>ontheinternet</Computer> 
        <Security /> 
    </System>
    <EventData>
        <Data Name="SubjectUserSid">S-1-0-0</Data> 
        <Data Name="SubjectUserName">-</Data> 
        <Data Name="SubjectDomainName">-</Data> 
        <Data Name="SubjectLogonId">0x0</Data> 
        <Data Name="TargetUserSid">S-1-0-0</Data> 
        <Data Name="TargetUserName">notauser</Data> 
        <Data Name="TargetDomainName">MYSERVER-PC</Data> 
        <Data Name="Status">0xc000006d</Data> 
        <Data Name="FailureReason">%%2313</Data> 
        <Data Name="SubStatus">0xc0000064</Data> 
        <Data Name="LogonType">3</Data> 
        <Data Name="LogonProcessName">NtLmSsp</Data> 
        <Data Name="AuthenticationPackageName">NTLM</Data> 
        <Data Name="WorkstationName">MYSERVER-PC</Data> 
        <Data Name="TransmittedServices">-</Data> 
        <Data Name="LmPackageName">-</Data> 
        <Data Name="KeyLength">0</Data> 
        <Data Name="ProcessId">0x0</Data> 
        <Data Name="ProcessName">-</Data> 
        <Data Name="IpAddress">-</Data> 
        <Data Name="IpPort">-</Data> 
    </EventData>
</Event>

Run Code Online (Sandbox Code Playgroud)

似乎是因为登录类型是 3 而不是像旧的 rdp 会话那样是 10，所以没有存储 ip 地址和其他信息。

我试图连接的机器在互联网上，而不是与服务器在同一个网络上。

有谁知道这些信息存储在哪里（以及登录失败会生成哪些其他事件）？

任何帮助都感激不尽。

Answer 1

小智 8

使用 TLS/SSL 作为 RDP 协议的加密，Windows 不会记录尝试登录的用户的 IP 地址。当您将服务器配置为使用（传统）RDP 加密来加密协议时，它会将 IP 地址写入安全事件日志。

您将不得不做出权衡。要么您将使用不太安全的协议加密，要么您永远不会知道潜在攻击的来源。拥有正确的入侵检测系统（可以免费下载），系统会在指定数量的无效登录后自动锁定潜在攻击者。

在此处阅读有关 RDP 安全和智能入侵检测和防御的更多信息：https ://cyberarms.net/security-blog/posts/2012/june/remote-desktop-logging-of-ip-address-(security-event- log- 4625).aspx

Answer 2

小智 0

我找到了这篇有关 RDP 会话日志文件的文章。希望对您有所帮助。

http://forums.techarena.in/windows-security/838814.htm

我也没有看到 - 具体是什么问题？

请注意，没有密码登录将被记录为失败。如果您记录失败并且用户没有密码，这会导致安全日志很快填满。结果就是无法正常登录。另请注意，没有密码是一种潜在且可能的安全风险。

可以通过转到“开始”|“事件日志”来查看事件日志。控制面板| 性能与维护| 管理工具并单击事件查看器。

事件日志（安全）记录远程用户成功登录和注销。用户可以突出显示日志条目并右键单击以查看事件属性以获取详细信息。

在安全事件日志中查找登录/注销事件 528 和登录类型 10。

免费的 Microsoft Port Reporter 工具提供额外的日志记录。端口报告解析器 (PR-Parser) 工具的说明 http://support.microsoft.com/default...b;en-us;884289

端口报告器工具的可用性和说明 http://support.microsoft.com/kb/837243

归档时间：	13 年，10 月前
查看次数：	34545 次
最近记录：	9 年，3 月前