Mislukte controle in Win2008

[wdr]

Hallo,

Op onze enige gehoste Win2008 (voor de rest hosten we Linux-machines) kom ik steeds deze melding tegen.
RDP staat afgevangen op IP in de firewall (zeker weten, is getest ) en ook Filesharing en "Client voor Microsoft-Netwerken" staat ook uit.

Er staat geen Exchange o.i.d. op. Alleen IBM Lotus Domino. Maar toch lukt het iemand om authenticatie aan te vragen. Dit IP komt uit China (gecontroleerd met whois) maar daar heb ik geen bekenden zitten...

Vraag is dus concreet: Welke services draaien er nog die ik kan "killen" om authenticatie van onbekenden tegen te gaan? Hoe kan ik zien welke service dit is?

Het aanmelden van een account is mislukt.

Onderwerp:
Beveiligings-id: NULL SID
Accountnaam: -
Accountdomein: -
Aanmeldings-id: 0x0

Aanmeldingstype: 3

Account waarvoor het aanmelden is mislukt:
Beveiligings-id: NULL SID
Accountnaam: administrator
Accountdomein: *.*.*.* (ons IP)

Gegevens over mislukte bewerking:
Reden van mislukken: Onbekende gebruikersnaam of ongeldig wachtwoord.
Status: 0xc000006d
Substatus: 0xc000006a

Procesgegevens:
Proces-id van aanroeper: 0x0
Procesnaam van aanroeper: -

Netwerkgegevens:
Naam van werkstation: SDFJDS1314DSKFJ
Netwerkadres van bron: 59.34.131.202
Poort van bron: 3730

Gedetailleerde verificatiegegevens:
Aanmeldingsproces: NtLmSsp
Verificatiepakket: NTLM
Doorgezette services: -
Pakketnaam (alleen NTLM): -
Sleutellengte: 0

Deze gebeurtenis wordt gegenereerd wanneer een aanmeldingsaanvraag mislukt. De gebeurtenis wordt gegenereerd op de computer waartoe wordt geprobeerd toegang te verkrijgen.

De velden Onderwerp bevatten de account op het lokale systeem waardoor de aanmelding is aangevraagd. Dit is meestal een service zoals de Server-service, of een lokaal proces zoals Winlogon.exe of Services.exe.

In het veld Aanmeldingstype ziet u het type aanmelding. De meest algemene typen zijn 2 (interactief) en 3 (netwerk).

In de velden met procesgegevens ziet u door welke account en door welk proces de aanmelding is aangevraagd.

In de netwerkvelden ziet u de bron van een externe aanmeldingsaanvraag. Naam van werkstation is niet altijd beschikbaar en kan in sommige gevallen leeg zijn.

De velden met verificatiegegevens bevatten gedetailleerde informatie over die aanmeldingsaanvraag.
- In Doorgezette services ziet u welke tussentijdse services voor deze aanmeldingsaanvraag zijn gebruikt.
- Pakketnaam geeft aan welk subprotocol van de NTLM-protocollen is gebruikt.
- Sleutellengte geeft de lengte van de gegenereerde sessiesleutel aan. Dit veld is 0 als er geen sessiesleutel is aangevraagd.

[GlobalServe]

Wat is het beveiligings niveau van RDP op de server?
Gebruik je een recente client?

[WebMeso]

Welke versie van Win 2008 gebruik je precies?

Staat de setting van externe verbindingen op: "Verbinden met computers toestaan, ongeacht de versie van Extern Bureaublad."

[wdr]

Welke versie van Win 2008 gebruik je precies?

Staat de setting van externe verbindingen op: "Verbinden met computers toestaan, ongeacht de versie van Extern Bureaublad."

Ik gebruik Windows 2008 Standard SP1.
De settings van de externe verbinding staat inderdaad op dat beveiligingsniveau.

Maar logisch gedacht: Als ik 3389 niet beschikbaar maakt via de firewall... Kan men dan wel mijn RDP-service aanspreken?

[Bart L]

Nope, maar jij zelf ook niet meer.

[Cakkie]

Die melding heeft trouwens niets met RDP te maken. RDP logins hebben aanmeldingstype 10. Mogelijks heb je ergens nog een service draaien die NTML logins ondersteund. Kan vanalles zijn zoals je Notes/Domino, of een IIS die een folder heeft waar anonymous login uitgeschakeld is en NTLM authenticatie is ingeschakeld.

[wdr]

Die melding heeft trouwens niets met RDP te maken. RDP logins hebben aanmeldingstype 10. Mogelijks heb je ergens nog een service draaien die NTML logins ondersteund. Kan vanalles zijn zoals je Notes/Domino, of een IIS die een folder heeft waar anonymous login uitgeschakeld is en NTLM authenticatie is ingeschakeld.

Dank voor uw antwoord.
Is het nergens te controleren in Windows 2008 waar iemand authenticatie op aanvraagd? Domino/Notes is in ieder geval niet ingesteld voor authenticatie op de Active Directory o.i.d.

Zoals in een eerdere post heb ik RDP afgesloten voor iedereen behalve mezelf... dus dacht al dat het niet echt RDP kon zijn.

[Cakkie]

Kijk eens in de Group Policy editor, daar kan je NTLM beperken. Onder normale omstandigheden zou het niet nodig moeten zijn om extern NTLM traffic te aanvaarden, tenzij je die server gebruikt om vanaf een andere computer/server accounts te verifieren.

Security Settings > Local Policies > Security options
"Network security: Restrict NTLM: Audit incoming NTLM traffic" op "All accounts" zetten
"Network security: Restrict NTLM: incoming NTLM traffic" op "Deny All" zetten