wdr
20/08/10, 14:16
Hallo,
Op onze enige gehoste Win2008 (voor de rest hosten we Linux-machines) kom ik steeds deze melding tegen.
RDP staat afgevangen op IP in de firewall (zeker weten, is getest :)) en ook Filesharing en "Client voor Microsoft-Netwerken" staat ook uit.
Er staat geen Exchange o.i.d. op. Alleen IBM Lotus Domino. Maar toch lukt het iemand om authenticatie aan te vragen. Dit IP komt uit China :chinese: (gecontroleerd met whois) maar daar heb ik geen bekenden zitten...
Vraag is dus concreet: Welke services draaien er nog die ik kan "killen" om authenticatie van onbekenden tegen te gaan? Hoe kan ik zien welke service dit is?
Het aanmelden van een account is mislukt.
Onderwerp:
Beveiligings-id: NULL SID
Accountnaam: -
Accountdomein: -
Aanmeldings-id: 0x0
Aanmeldingstype: 3
Account waarvoor het aanmelden is mislukt:
Beveiligings-id: NULL SID
Accountnaam: administrator
Accountdomein: *.*.*.* (ons IP)
Gegevens over mislukte bewerking:
Reden van mislukken: Onbekende gebruikersnaam of ongeldig wachtwoord.
Status: 0xc000006d
Substatus: 0xc000006a
Procesgegevens:
Proces-id van aanroeper: 0x0
Procesnaam van aanroeper: -
Netwerkgegevens:
Naam van werkstation: SDFJDS1314DSKFJ
Netwerkadres van bron: 59.34.131.202
Poort van bron: 3730
Gedetailleerde verificatiegegevens:
Aanmeldingsproces: NtLmSsp
Verificatiepakket: NTLM
Doorgezette services: -
Pakketnaam (alleen NTLM): -
Sleutellengte: 0
Deze gebeurtenis wordt gegenereerd wanneer een aanmeldingsaanvraag mislukt. De gebeurtenis wordt gegenereerd op de computer waartoe wordt geprobeerd toegang te verkrijgen.
De velden Onderwerp bevatten de account op het lokale systeem waardoor de aanmelding is aangevraagd. Dit is meestal een service zoals de Server-service, of een lokaal proces zoals Winlogon.exe of Services.exe.
In het veld Aanmeldingstype ziet u het type aanmelding. De meest algemene typen zijn 2 (interactief) en 3 (netwerk).
In de velden met procesgegevens ziet u door welke account en door welk proces de aanmelding is aangevraagd.
In de netwerkvelden ziet u de bron van een externe aanmeldingsaanvraag. Naam van werkstation is niet altijd beschikbaar en kan in sommige gevallen leeg zijn.
De velden met verificatiegegevens bevatten gedetailleerde informatie over die aanmeldingsaanvraag.
- In Doorgezette services ziet u welke tussentijdse services voor deze aanmeldingsaanvraag zijn gebruikt.
- Pakketnaam geeft aan welk subprotocol van de NTLM-protocollen is gebruikt.
- Sleutellengte geeft de lengte van de gegenereerde sessiesleutel aan. Dit veld is 0 als er geen sessiesleutel is aangevraagd.
Op onze enige gehoste Win2008 (voor de rest hosten we Linux-machines) kom ik steeds deze melding tegen.
RDP staat afgevangen op IP in de firewall (zeker weten, is getest :)) en ook Filesharing en "Client voor Microsoft-Netwerken" staat ook uit.
Er staat geen Exchange o.i.d. op. Alleen IBM Lotus Domino. Maar toch lukt het iemand om authenticatie aan te vragen. Dit IP komt uit China :chinese: (gecontroleerd met whois) maar daar heb ik geen bekenden zitten...
Vraag is dus concreet: Welke services draaien er nog die ik kan "killen" om authenticatie van onbekenden tegen te gaan? Hoe kan ik zien welke service dit is?
Het aanmelden van een account is mislukt.
Onderwerp:
Beveiligings-id: NULL SID
Accountnaam: -
Accountdomein: -
Aanmeldings-id: 0x0
Aanmeldingstype: 3
Account waarvoor het aanmelden is mislukt:
Beveiligings-id: NULL SID
Accountnaam: administrator
Accountdomein: *.*.*.* (ons IP)
Gegevens over mislukte bewerking:
Reden van mislukken: Onbekende gebruikersnaam of ongeldig wachtwoord.
Status: 0xc000006d
Substatus: 0xc000006a
Procesgegevens:
Proces-id van aanroeper: 0x0
Procesnaam van aanroeper: -
Netwerkgegevens:
Naam van werkstation: SDFJDS1314DSKFJ
Netwerkadres van bron: 59.34.131.202
Poort van bron: 3730
Gedetailleerde verificatiegegevens:
Aanmeldingsproces: NtLmSsp
Verificatiepakket: NTLM
Doorgezette services: -
Pakketnaam (alleen NTLM): -
Sleutellengte: 0
Deze gebeurtenis wordt gegenereerd wanneer een aanmeldingsaanvraag mislukt. De gebeurtenis wordt gegenereerd op de computer waartoe wordt geprobeerd toegang te verkrijgen.
De velden Onderwerp bevatten de account op het lokale systeem waardoor de aanmelding is aangevraagd. Dit is meestal een service zoals de Server-service, of een lokaal proces zoals Winlogon.exe of Services.exe.
In het veld Aanmeldingstype ziet u het type aanmelding. De meest algemene typen zijn 2 (interactief) en 3 (netwerk).
In de velden met procesgegevens ziet u door welke account en door welk proces de aanmelding is aangevraagd.
In de netwerkvelden ziet u de bron van een externe aanmeldingsaanvraag. Naam van werkstation is niet altijd beschikbaar en kan in sommige gevallen leeg zijn.
De velden met verificatiegegevens bevatten gedetailleerde informatie over die aanmeldingsaanvraag.
- In Doorgezette services ziet u welke tussentijdse services voor deze aanmeldingsaanvraag zijn gebruikt.
- Pakketnaam geeft aan welk subprotocol van de NTLM-protocollen is gebruikt.
- Sleutellengte geeft de lengte van de gegenereerde sessiesleutel aan. Dit veld is 0 als er geen sessiesleutel is aangevraagd.