Коллеги привет,

Eсли у вас выделенный Windows Server, то наверняка вам хорошо знакома такая проблема:
Security EventLog содержит тысячи записей о неудачных попытках залогиниться на ваш сервер.

Это означает что ваш Remote Desktop пытаются брутфорсить.

Кто бы это ни был: китайские школьники вооруженные tsgrinder или очередной сетевой червь,
в любом случае — неприятно, даже если у вас хороший пароль.

Опять же драгоценныен ресурсы серверной машины тратятся на обслуживание левых запросов.

Мы недавно выпустили продукт который решает вышеописанную проблему — RdpGuard

После n неудачных попыток блокирует на указанный интервал ip адрес атакующего. Работает как сервис.

А 13 числа будет распродажа на Bitsdujour, так что кому интересно, не пропустите

Не могу зайти на ваш сайт — блокирует по ip.

Здравствуйте, RdpGuard, Вы писали:

RG>Коллеги привет,

RG>Eсли у вас выделенный Windows Server, то наверняка вам хорошо знакома такая проблема:
RG>Security EventLog содержит тысячи записей о неудачных попытках залогиниться на ваш сервер.

RG>Это означает что ваш Remote Desktop пытаются брутфорсить.

RG>Кто бы это ни был: китайские школьники вооруженные tsgrinder или очередной сетевой червь,
RG>в любом случае — неприятно, даже если у вас хороший пароль.

RG>Опять же драгоценныен ресурсы серверной машины тратятся на обслуживание левых запросов.

RG>Мы недавно выпустили продукт который решает вышеописанную проблему — RdpGuard

RG>После n неудачных попыток блокирует на указанный интервал ip адрес атакующего. Работает как сервис.

RG>А 13 числа будет распродажа на Bitsdujour, так что кому интересно, не пропустите

А где linux? Я бы купил.

Здравствуйте, BrutForce, Вы писали:

BF>Не могу зайти на ваш сайт — блокирует по ip.

да, к сожалению у нас перманентно забанено несколько украинских сетей..

попробуйте зайти с вашего windows server'a

Здравствуйте, itksw, Вы писали:

I>А где linux? Я бы купил.

если у вас linux, посмотрите на fail2ban

Здравствуйте, RdpGuard, Вы писали:

RG>да, к сожалению у нас перманентно забанено несколько украинских сетей..

RG>попробуйте зайти с вашего windows server'a

Может причина в нике?

стало интересно, так как никогда об этом не задумывался, посмотрел и действительно на всех трех серверах такая хрень, идет постоянный подбор в течение суток каждые две минуты попытка логина на Administrator, пароль-то конечно не подберут так как он вида f4t5uSf9FfrDwF3wa, но все равно неприятно.

и тут такой момент, в Event Log все записи вот какие:

Log Name: Security
Source: Microsoft-Windows-Security-Auditing
Date: 5/12/2012 1:17:35 AM
Event ID: 4625
Task Category: Logon
Level: Information
Keywords: Audit Failure
User: N/A
Computer: m1336
Description:
An account failed to log on.

Subject:
Security ID: SYSTEM
Account Name: m1336$
Account Domain: WORKGROUP
Logon ID: 0x3e7

Logon Type: 2

Account For Which Logon Failed:
Security ID: NULL SID
Account Name: Administrator
Account Domain: m1336

Failure Information:
Failure Reason: Unknown user name or bad password.
Status: 0xc000006d
Sub Status: 0xc000006a

Process Information:
Caller Process ID: 0x2c0
Caller Process Name: C:\Windows\System32\winlogon.exe

Network Information:
Workstation Name: m1336
Source Network Address: 127.0.0.1
Source Port: 0

Detailed Authentication Information:
Logon Process: User32
Authentication Package: Negotiate
Transited Services: —
Package Name (NTLM only): —
Key Length: 0

это как получается адрес 127.0.0.1

как такое может быть и что в данном случае блокировать?

Здравствуйте, RdpGuard, Вы писали:

RG>Eсли у вас выделенный Windows Server, то наверняка вам хорошо знакома такая проблема:
RG>Security EventLog содержит тысячи записей о неудачных попытках залогиниться на ваш сервер.

Eсли у вас выделенный Linux сервер или VPS, то наверняка вам хорошо знакома такая проблема:
Security лог содержит тысячи записей о неудачных попытках залогиниться на ваш сервер.

RG>Это означает что ваш Remote Desktop пытаются брутфорсить.

Это означает что вас пытаются брутфорсить по SSH.

RG>Мы недавно выпустили продукт который решает вышеописанную проблему — RdpGuard
RG>После n неудачных попыток блокирует на указанный интервал ip адрес атакующего. Работает как сервис.

Мы заново изобрели файрвол/fail2ban/....

Здравствуйте, RdpGuard, Вы писали:

RG>Коллеги привет,

RG>Eсли у вас выделенный Windows Server, то наверняка вам хорошо знакома такая проблема:
RG>Security EventLog содержит тысячи записей о неудачных попытках залогиниться на ваш сервер.
А просто пересадить Remote Desktop на другой порт не судьба? Снизит число атакующих в разы. Если еще открыть его только для определенных ip фаерволлом — вообще все будет тихо-тихо

Здравствуйте, RdpGuard, Вы писали:

RG>Eсли у вас выделенный Windows Server
Уже лет 8 как.

RG> то наверняка вам хорошо знакома такая проблема:
RG>Security EventLog содержит тысячи записей о неудачных попытках залогиниться на ваш сервер.
Неа, не известна. Просто в реестре сменили порт с дефолтного на... нестандартный. Судя по логам FW — кроме тех кому положено больше никто туда за всё время так и ломился. Стандартные порты сканить пытаются, да.

Здравствуйте, sdf, Вы писали:

RG>>Eсли у вас выделенный Windows Server, то наверняка вам хорошо знакома такая проблема:
RG>>Security EventLog содержит тысячи записей о неудачных попытках залогиниться на ваш сервер.
sdf>А просто пересадить Remote Desktop на другой порт не судьба? Снизит число атакующих в разы. Если еще открыть его только для определенных ip фаерволлом — вообще все будет тихо-тихо
Ну, оно то поможет. Вот только продать это сложнее.

Здравствуйте, CreatorCray, Вы писали:

CC>Здравствуйте, RdpGuard, Вы писали:

RG>>Eсли у вас выделенный Windows Server
CC>Уже лет 8 как.

RG>> то наверняка вам хорошо знакома такая проблема:
RG>>Security EventLog содержит тысячи записей о неудачных попытках залогиниться на ваш сервер.
CC>Неа, не известна. Просто в реестре сменили порт с дефолтного на... нестандартный. Судя по логам FW — кроме тех кому положено больше никто туда за всё время так и ломился. Стандартные порты сканить пытаются, да.

Я вообще RDP голый извне запретил. Только через VPN.

Здравствуйте, stasgoo, Вы писали:
S>Я вообще RDP голый извне запретил. Только через VPN.
Чтоб подбирали парль к VPN?