iT邦幫忙

0

使用者帳戶被鎖定 / 網路攻擊

資訊安全 網路 攻擊
zacklin 2014-11-03 11:34:57 ‧ 15373 瀏覽

週五時有員工反應帳戶被凍結，以為他是密碼打錯太多次才被凍結，就直接幫他做解鎖做處理

不到五分鐘電話又來了，說又被鎖，密碼都有打對，於是我去看稽核錯誤記錄發現了…

連ad帳戶都一直不斷在密碼錯誤 (確定這個帳戶沒人登入，因伺服器的帳戶不是ADMIN)

請各位先進指導個方向，一開始以為是中毒，圖2、3 (稱為A員工)

他的機器掃過了，查這症狀還以為是CONFICKER…結果什麼也沒掃到

且他的機器換個使用者居然就不會再稽核錯誤了，故應不是中毒的問題…

以及ad帳戶也在不斷嘗試密碼，我該如何查出是哪個機器(或ip)在使用這個帳戶嘗試？

以及該如何阻止此類問題再次發生，感謝各位先進幫忙…

看更多先前的討論...收起先前的討論...
CalvinKuo iT邦大師 7 級 ‧ 2014-11-03 13:36:09 檢舉
請參考版上 保哥的Blog...
http://blog.miniasp.com/post/2010/12/08/How-to-analysis-AD-Account-Lockout-problem.aspx
acergo iT邦新手 5 級 ‧ 2014-11-04 15:41:48 檢舉
直覺是DC-1重了蠕蟲病毒，特點是中毒電腦會被當跳板嘗試登入網域內所有的電腦，
一直try帳號try到帳號死掉!
1. 請檢查DC-1的排程是否有異常的作業?
2. 請使用防毒官網工具掃描蠕蟲病毒
3. 請MIS人員協助調出防毒系統中毒報告，尤其是大量中毒的主機
4. 防毒處理完成請記得更新微軟Windows Defender
5. 確認相關電腦防毒版本及病毒碼版本是最新版
6. DC-1主機有可能是受其他主機攻擊，需一併追查攻擊來源，確認源頭....

路人甲飄過~~~
zacklin iT邦新手 5 級 ‧ 2014-11-05 14:48:21 檢舉
謝謝前輩，很有幫助
zacklin iT邦新手 5 級 ‧ 2014-11-05 14:49:29 檢舉
了解，感謝指點方向
DC-1是公司共用磁區，比較納悶的是這台沒裝防毒軟體…囧
前MIS留下來就是這樣了 XD
Kevin iT邦新手 4 級 ‧ 2014-11-05 22:07:34 檢舉
Server 級的就一定要花錢買防毒了
不然就不要對外...
登入發表討論
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

7 個回答

4
johnson324
iT邦新手 4 級 ‧ 2014-11-05 08:41:11
最佳解答

這就是網路上有人(或程式)在猜您的密碼, Windows的Log透露的訊息太少, 沒法抓對方, 只能在其上一級寬頻分享器找Log...

最佳的做法是: 只要是主機有密碼, 就不要對外開放, E-mail收發則透過另一部沒有帳號的主機中轉, 外部要使用內部則透過VPN, 這樣才會沒事...

Linux上有一套件fail2ban可以鎖對方IP, 但不支持Windows, 而且你會發現這種攻擊非常頻繁...

看更多先前的回應...收起先前的回應...
zacklin iT邦新手 5 級 ‧ 2014-11-05 11:20:23 檢舉

很不幸 我的是2003 囧

johnson324 iT邦新手 4 級 ‧ 2014-11-05 11:23:00 檢舉

可以在其前方加裝一台Linux主機做郵件中轉, 防毒...

這樣就可以有效防駭

zacklin iT邦新手 5 級 ‧ 2014-11-05 14:52:10 檢舉

了解，有空再來研究研究，請問前輩有參考資料可否提供
感謝!!

johnson324 iT邦新手 4 級 ‧ 2014-11-05 15:42:51 檢舉

先學會架Linux, 以及Mail server, 並裝上防毒, 設定好iptables, 再裝上fail2ban, 這些都可以在Google找到資料.

到fail2ban時, 如有需要設定檔(有點複雜), 或有其他疑問, 可以e-mail給我 johnson@erp.tw

登入發表回應
4
丁大丙
iT邦研究生 5 級 ‧ 2014-11-03 13:35:35

之前不是說你是總務??

zacklin iT邦新手 5 級 ‧ 2014-11-03 14:37:48 檢舉

是啊，就是我XD

登入發表回應
6
vit5015
iT邦新手 3 級 ‧ 2014-11-03 15:38:46

這幾天有遇到類似問題，也以為是中毒，後來把印表機砍掉之後就沒發生過了，供你參考。

zacklin iT邦新手 5 級 ‧ 2014-11-03 16:27:42 檢舉

可是那台設備上沒有安裝印表機耶…

謝謝提供寶貴經驗

登入發表回應
4
tomchun
iT邦研究生 5 級 ‧ 2014-11-04 08:11:23

server裝一套Wireshark看看封包情況如何

登入發表回應
6
elegantt
iT邦新手 4 級 ‧ 2014-11-04 11:50:02

通常帳戶登入方式....一種是透過終端機登入...應該會有紀錄...如果透過遠端桌面也會有紀錄..而且遠端端桌會紀錄是從那個ip,另一種是透過服務方式登入...在log也會看到是透過那個服務....接著您在針對那個服務查log就可以發現是那個ip試著登入了!

zacklin iT邦新手 5 級 ‧ 2014-11-05 11:22:35 檢舉

USER的稽核錯誤已經處理好了，直接洗白白 囧
只剩AD的還沒處理掉，前面幾篇回答/討論提供不錯的資訊教學
差不多有個頭緒了，再來就是花時間去找......畢竟經驗不足

登入發表回應
2
morryboy
iT邦新手 1 級 ‧ 2014-11-04 22:59:08

User 有exchange 的mailbox嗎？

zacklin iT邦新手 5 級 ‧ 2014-11-05 11:20:54 檢舉

有的

登入發表回應
2
一級屠豬士
iT邦新手 2 級 ‧ 2014-11-05 11:31:07

別撐了,找專業的吧.
該花的錢就要花.

zacklin iT邦新手 5 級 ‧ 2014-11-05 14:50:23 檢舉

我不是老闆啊，沒辦法做這決定 Orz

登入發表回應

我要發表回答

立即登入回答

相關問題

iThome鐵人賽
參賽組數
1123 組
團體組數
52 組
累計文章數
23096 篇
完賽人數
656 人
iT+看影片追技術 看影片追技術 看更多
熱門tag 看更多
15th鐵人賽 13th鐵人賽 14th鐵人賽 12th鐵人賽 11th鐵人賽 鐵人賽 2019鐵人賽 2018鐵人賽 javascript 2017鐵人賽 python windows php c# windows server linux css react 程式設計 vue.js
熱門問題
熱門回答
熱門文章
IT邦幫忙