Server 2008 adit 日志显示 1000 次失败登录尝试到“管理员”帐户

Question

我正要通过我的一个服务器的日志，我注意到有一吨失败的登录尝试的用户名Administrator，owner和Admin。我假设这些是机器人，因为几乎每秒都有一个，但我的问题是你通常会怎么做？

我是服务器安全的新手，但从我所阅读的内容来看，大多数人似乎并不太关心这类事情。

当你尝试远程桌面进入windows系统时，你是不是只尝试了几次就被锁定了一点？我每 1.3 秒从同一个 IP 地址尝试登录 63 分钟或失败69.41.252.68。

Answer 1

默认情况下不启用帐户锁定策略设置。您需要手动启用它们。如果这是一个独立的服务器（听起来是这样），您可以通过在管理工具中编辑本地安全策略来启用帐户锁定策略设置。如果此服务器已加入域，您可以通过从管理工具中编辑本地安全策略或使用域中的组策略来启用帐户锁定策略设置。

听起来这些事件是由传入的 RDP 连接尝试生成的（尽管您尚未指定）。您可以采用多种方法来处理此问题：

A. 在您的网络路由器或防火墙阻止有问题的 IP 地址。

B. 通过将 RDP-in 规则的范围设置为仅允许来自一组定义的 ip 地址或网络的连接，在 Windows 防火墙中阻止有问题的 ip 地址。