Tentativas de login do Windows Web Server

Question

Temos um servidor da web em nuvem que atende a vários sites de comércio eletrônico, que executa o Windows Server 2008 R2 e o IIS 7.5. Nós acessamos o servidor via RDC.

Depois de olhar o log de segurança do Windows, vejo muitas tentativas de login, que são eventos:

• 4776 - O computador tentou validar as credenciais de uma conta.
• 4625 - Uma conta falhou ao efetuar login.

O nome de usuário no registro é 'administrator', o qual não temos, usamos um login diferente do Windows como nosso administrador e temos uma senha complexa. Então, não estou preocupado com o fato de alguém entrar em nosso servidor, o que me preocupa são os recursos do servidor que estão sendo usados.

Eu sei que podemos bloquear o acesso ao RDC usando o firewall do Windows, para que somente nosso IP seja aceito. No entanto, não sei como essas tentativas de login estão sendo feitas. Não sei se podemos distinguir entre essas tentativas de login e o tráfego HTTP normal (nossos clientes).

Podemos usar o firewall do Windows para bloquear essas tentativas de login, mas não bloquear nosso acesso ao RDC ou nossos clientes que visitam nossos sites?

ATUALIZAÇÃO:

Do log de segurança:

Event 4625 - An account failed to log on.

Subject:
    Security ID:        SYSTEM
    Account Name:       [our_server_name]$
    Account Domain:     Workgroup
    Logon ID:       0x3e7

Logon Type:         10

Account For Which Logon Failed:
    Security ID:        NULL SID
    Account Name:       Administrator
    Account Domain:     [our_server_name]

Failure Information:
    Failure Reason:     Unknown user name or bad password.
    Status:         0xc000006d
    Sub Status:     0xc0000064

Process Information:
    Caller Process ID:  0xa44
    Caller Process Name:    C:\Windows\System32\winlogon.exe

Network Information:
    Workstation Name:   [our_server_name]
    Source Network Address: 198.50.172.109
    Source Port:        62246

Detailed Authentication Information:
    Logon Process:      User32 
    Authentication Package: Negotiate
    Transited Services: -
    Package Name (NTLM only):   -
    Key Length:     0

    

Answer 1

Já que você mencionou a Área de Trabalho Remota em sua pergunta, presumo que você tenha a Área de Trabalho Remota aberta à Internet. Nesse caso, é quase uma certeza que esses logons com falha são provenientes da área de trabalho remota. tentativas de força bruta.

Os detalhes das mensagens do Evento 4625 irão lhe dizer o que está realmente acontecendo. Uma tentativa de logon da Área de Trabalho Remota mostrará "ID do Processo do Chamador:" como 0x0 e "Nome do Processo do Chamador" como - .

Como você diz que não está usando nenhuma autenticação em seus sites, essas entradas não podem estar relacionadas a clientes que acessam sites. O "Nome do processo do chamador" seria C:\Windows\System32\inetsrv\w3wp.exe em um logon baseado em IIS, caso você queira verificar.

Você não deve abrir a Área de Trabalho Remota para toda a Internet. Bloqueie-o para endereços IP autorizados no mínimo.

Editar:

Você pode obter winlogon.exe como o "Nome do processo do chamador" também para logons inválidos baseados na área de trabalho remota. Não consigo fornecer a combinação exata de camadas de segurança do RDP e versões do Windows necessárias para que isso aconteça, mas, sim, é seguro dizer que há falhas no logon da Área de Trabalho Remota.