АФ
Шаг 9 по ссылке посмотри, остальное наверняка уже пробовал
Size: a a a
2020 July 20
MO
Дмитрий Стародубцев
Да, это внешний адрес. Но прилетает на контроллер он не напрямую из интернета, а через один из серверов, открытых в интернет. Так?
Внешний вообще или внешний вашего сервера?
ДС
Если 4625 мало, попробуй так http://realit1.blogspot.com/2012/04/troubleshooting-active-directory.html?m=1
Спс, посмотрю чуть позже
ДС
Внешний вообще или внешний вашего сервера?
Совсем внешний
ДС
Внешний вообще или внешний вашего сервера?
ДС
например такой был адрес
A
Вот это смешно)
EV
Вот это смешно)
Сам придумал)
VK
Сам придумал)
А кто это? Толстой?
MS
А кто это? Толстой?
Вовней
VK
Вовней
Без очков не узнать!
ДС
Если 4625 мало, попробуй так http://realit1.blogspot.com/2012/04/troubleshooting-active-directory.html?m=1
В общем это получается то же самое, что включение эвентов через:
Local Security Policy\Local Policies\Security Options
"Network Security: Restrict NTLM: Audit Incoming NTLM Traffic" - Enable Auditing for all accounts
"Network Security: Restrict NTLM: Audit Incoming NTLM in this domain." - Enable all
Local Security Policy\Local Policies\Security Options
"Network Security: Restrict NTLM: Audit Incoming NTLM Traffic" - Enable Auditing for all accounts
"Network Security: Restrict NTLM: Audit Incoming NTLM in this domain." - Enable all
EV
А кто это? Толстой?
Простой
ВБ
Дмитрий Стародубцев
Коллеги, добрый день.
Есть серьёзный вопрос по безопасности. На контроллере видно много ивентов 4625, в них около 50 внешних ip адресов пытаются заломиться под учёткой Administrator. Скорее всего они это делают через серверы, которые открыты для внешки.
Как можно определить через какие серверы идёт подбор?
Есть серьёзный вопрос по безопасности. На контроллере видно много ивентов 4625, в них около 50 внешних ip адресов пытаются заломиться под учёткой Administrator. Скорее всего они это делают через серверы, которые открыты для внешки.
Как можно определить через какие серверы идёт подбор?
Наверно, уже ответили. Надо включить логгирование дополнительно. Но тебе информация вряд ли что даст). Придется с этим жить)
ДС
Вот что мне кажется странным, если смотреть IP, с которых были коннекты по событию 4625 с учёткой administrator, то событий тысячи.
А если смотреть по событиям 8004, то их намного меньше.
При этом lockout.exe тоже показывает тысячи попыток
А если смотреть по событиям 8004, то их намного меньше.
При этом lockout.exe тоже показывает тысячи попыток
ДС
