En nuestro WS2012 R2, veo varias fallas en la auditoría de inicio de sesión de 4625. Cualquier cosa entre una vez cada 5 minutos a 5 veces por minuto. Los nombres de usuario que fallan en el intento de inicio de sesión cambian con frecuencia. Pero parece ser de una lista de nombres de usuario comúnmente utilizados (Administrador, Usuario, Prueba, Ventas, Bob, Interno, Admin2, SALA DE JUNTAS, BARBARA, ALAN, COPIADORA, RESPALDO, XEROX, USUARIO1, RECEPCIÓN, etc.). Estos intentos fallidos también parecen continuar 24/7.
Como somos una empresa bastante pequeña, estoy bastante seguro de que no son intentos legítimos y están automatizados.
A continuación se muestra un ejemplo de registro de seguridad de registros de Windows.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
Account For Which Logon Failed:
Security ID: NULL SID
Account Name: BOARDROOM
Account Domain:
Failure Information:
Failure Reason: Unknown user name or bad password.
Status: 0xC000006D
Sub Status: 0xC0000064
Process Information:
Caller Process ID: 0x0
Caller Process Name: -
Network Information:
Workstation Name: -
Source Network Address: -
Source Port: -
Detailed Authentication Information:
Logon Process: NtLmSsp
Authentication Package: NTLM
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
¿Tengo razón para preocuparme de que nos hackeen? ¿Cómo puedo averiguar de dónde provienen estos intentos fallidos de inicio de sesión y detenerlos?