Windows2003服务器入侵前兆检测技术

这意味着用户名管理员请求登录，但登录失败。当大量的登录失败记录出现在日志中时，表明有人试图猜测FTP帐户。这是FTP服务入侵的先兆。

分析这些日志的方法类似于先前分析WWW服务日志的方法。由于FTP无法执行帐户枚举，因此，如果您发现攻击者猜测的用户名与您使用的帐户完全相同，则需要修改该帐户并增强密码长度。

三、通过猜测系统帐户密码来检测入侵的前兆

对于Windows 2003服务器，猜测系统帐户密码也是一个很大的威胁，因为如果配置不当的服务器允许建立空会话，则攻击者可以执行远程帐户枚举等，然后根据密码进行猜测。在枚举的帐户上。即使服务器拒绝建立一个空会话，攻击者仍然可以猜测系统帐户，因为基本上许多服务器系统管理员都使用帐户名，例如administrator，admin和root。这些黑客工具，例如“ Streamer”，可以执行这种密码猜测，通过普通密码或详尽密码来破解系统帐户的密码。

要通过猜测系统帐户和密码来检测入侵，您需要设置服务器安全策略并将其记录在审核策略中。需要审核的基本事件包括：审核登录事件，审核帐户登录事件和帐户管理事件。审核这些事件的“成功与失败”，然后我们可以从事件查看器中的安全日志中查看这些审核记录。

例如：如果我们在安全日志中发现大量失败的审核，则意味着有人在猜测系统帐户。我们检查其中之一的详细内容，我们可以看到：

登录失败：

原因：用户名未知或密码错误

用户名：管理员

域：警报

登录类型：3

登录过程：NtLmSsp

身份验证程序包：MICROSOFT_AUTHENTICATION_PACKAGE_V1_0

工作站名称：REFDOM

猜测密码的攻击者打算猜测系统帐户管理员的密码。攻击者的来源是工作站名称：REFDOM。此处的记录是攻击者的计算机名称，而不是其IP地址。

当我们发现有人打算猜测密码时，我们需要修改相应的配置和策略。例如：限制IP地址，修改猜中密码的帐户的帐户名称，增加帐户密码的长度等，以应对此类入侵。

四、前兆检测终端服务入侵

Windows 2003提供了Telminal Service，这是基于远程桌面协议（RDP）的工具，管理员可以方便地执行远程控制。这是一个非常好的远程控制工具。终端服务使用的界面控制使管理员易于使用，并且速度也非常快，这也使攻击者也很方便。此外，过去，终端服务具有输入法漏洞，可以绕过安全检查来获取系统许可。对于启用了终端服务的服务器，许多攻击者喜欢远程连接以查看服务器的外观（即使他们根本没有帐户）。

入侵终端服务通常是在猜测系统帐户后发生的，攻击者使用所猜测的帐户来连接并登录到远程终端。

在管理工具中打开远程控制服务配置，单击“连接”，右键单击要配置的RDP服务（例如RDP-TCP（Microsoft RDP 5. 0)，选择书签“ Permissions ，单击“高级”，加入一个代表所有用户的Everyone组，然后审核其“连接”，“断开连接”，“注销”成功和“登录”成功与失败，此审核记录在安全日志中，您可以从“管理工具”-“日志查看器”中查看它。但是此日志就像以前的系统密码猜测解决方案一样，记录的是客户端计算机名称而不是客户端的IP地址。我们可以执行一个简单的批处理bat File（文件名是TerminalLog.bat），用它来记录客户端的IP，文件的内容是：

时间/ t Terminal.log

netstat -n -p tcp |找到“：3389” Terminal.log

启动资源管理器

终端服务使用的端口是TCP3389。文件的第一行是记录用户登录的时间，该时间记录在Terminal.log文件中，作为日志的时间字段。第二行是记录用户的IP地址，使用netstat显示当前网络连接状态命令，并在日志文件中记录3389端口。这样，可以记录另一方建立的3389连接的IP地址。

要将此程序设置为运行，可以将TerminalLOG.bat指定为用户在终端服务配置（登录脚本设置）中登录时需要打开的脚本，以便每个用户在登录后必须执行此脚本。在其中，因为默认脚本是Explorer（Explorer），所以启动Explorer的命令被添加到Terminal.bat的最后一行。如果未添加此命令行，则用户无法进入桌面。当然，您可以更强大地编写此脚本，但是请将日志文件放在安全的目录中。

通过Terminal.log文件和安全日志中记录的内容，我们可以通过终端服务发现入侵事件或先兆。

对于Windows 2003服务器，以上四种类型的入侵是最常见的，它们占了Windows 2003入侵的绝大多数。通过以上分析，我们可以及时发现这些入侵的先兆，并发现攻击者的开始根据这些先驱点，然后采取相应的安全措施以防止攻击者入侵。

从上面的分析中，我们还可以认识到各种日志记录和事件审核在服务器安全配置中的重要性。这些日志文件在受到攻击后是攻击者的重要目标。他们将删除和修改记录，以清除其入侵记录。因此，对于各种日志文件，我们最好隐藏它们并设置权限以保护它们。同时，只记录日志，不经常检查分析，一切工作都是徒劳的。

在安全维护中，系统管理员应保持警惕，熟悉黑客使用的入侵方法，并做好入侵前体的检测和分析工作，以便提前计划并防止入侵的发生。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shumachanpin/article-313530-1.html