Banir endereço IP no login malsucedido no Server 2003

Question

Estou regularmente sob ataques de força bruta no meu Windows Server 2003 com Citrix instalado. Como posso proibir automaticamente endereços IP que tenham várias tentativas de login malsucedidas?

Esta pergunta já tem algumas respostas que funcionam no Windows 2008, e que eu uso com sucesso na minha rede (código de @ MichaelKhalili). Eu também encontrei sshd_block aqui, ele também se aplica ao Windows 2003, mas é direcionado ao ssh. Infelizmente, não tenho o conhecimento necessário para adaptá-lo às tentativas de login do Terminal Server.

Obrigado pela sua ajuda.

    

Answer 1

Eu não tenho uma boa resposta exata, mas não queria deixar como um comentário.

Você teria que examinar periodicamente o log de eventos e proibir os IPs em tempo real para o Windows Server 2003. Não vejo uma maneira fácil de fazer isso sem ter uma tarefa acionada por eventos, como no Windows 2008+. Se você tiver uma caixa do Windows Server 2008 AD, poderá usá-la para capturar a tentativa de login inválida no domínio e executar um script que impeça uma conexão desse IP. Mas você pode ter que desbanir esse IP após um determinado período de tempo. E fazer essa limpeza pode ser complicado. Mas você poderia fazer isso com o VBScript ou com a linguagem de script escolhida.

Como proibir todos os intervalos de IP de áreas geográficas fora da sua base de usuários? Países estrangeiros, por exemplo, é um bom lugar para começar. Isso não corrigirá seu problema, mas poderá ajudar a acabar com parte do tráfego. Alguns firewalls possuem esse recurso integrado. Nosso Sonicwall faz um ótimo trabalho com o recurso "Geo-IP". Está longe de ser perfeito, mas certamente ajuda ...