Apa sumber ribuan 4625 kesalahan Logon Failure dengan Logon Type 8 (NetworkCleartext)?

Saya memiliki sistem Windows Server 2008 R2 yang memperlihatkan ribuan 4625 kesalahan Logon Failure dengan Logon Type 8 (NetworkCleartext) di bagian Keamanan Windows Logs setiap hari. Tidak ada alamat IP dari sistem yang mencoba untuk mendapatkan akses yang tercantum dalam Alamat Jaringan Sumber, jadi skrip yang saya buat untuk memblokir IP yang gagal terlalu sering tidak dapat menemukannya.

Layanan apa yang bisa berasal dari upaya login ini?

Berikut adalah contoh salah satunya:

An account failed to log on.

Subject:
    Security ID:        SYSTEM
    Account Name:       server-name$
    Account Domain:     example
    Logon ID:       0x3e7

Logon Type:         8

Account For Which Logon Failed:
    Security ID:        NULL SID
    Account Name:       Administrator
    Account Domain:     

Failure Information:
    Failure Reason:     Unknown user name or bad password.
    Status:         0xc000006d
    Sub Status:     0xc0000064

Process Information:
    Caller Process ID:  0x4d0
    Caller Process Name:    C:\Windows\System32\svchost.exe

Network Information:
    Workstation Name:   system-name
    Source Network Address: -
    Source Port:        -

Detailed Authentication Information:
    Logon Process:      Advapi  
    Authentication Package: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
    Transited Services: -
    Package Name (NTLM only):   -
    Key Length:     0

This event is generated when a logon request fails. It is generated on the computer where access was attempted.

The Subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.

The Logon Type field indicates the kind of logon that was requested. The most common types are 2 (interactive) and 3 (network).

The Process Information fields indicate which account and process on the system requested the logon.

The Network Information fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.

The authentication information fields provide detailed information about this specific logon request.
    - Transited services indicate which intermediate services have participated in this logon request.
    - Package name indicates which sub-protocol was used among the NTLM protocols.
    - Key length indicates the length of the generated session key. This will be 0 if no session key was requested.

Ada beberapa sumber info masuk yang mungkin menghasilkan kesalahan ini:

1. Login FTP - periksa log FTP Anda untuk melihat apakah kegagalan login muncul secara bersamaan. Ini adalah sumber dalam kasus saya, yang membuat saya terlalu lama untuk mencari tahu, dan itulah sebabnya saya memposting ini.
2. Login melalui Otentikasi Dasar melalui http atau https (cara sederhana, tetapi mungkin berbahaya, untuk melindungi kata sandi situs web)
3. Skrip ASP
4. Ada kemungkinan orang lain yang saya tidak sadari

Angka 2 dan 3 disebutkan di WindowsSecurity.com :

Jenis masuk ini menunjukkan masuk jaringan seperti masuk jenis 3 tetapi di mana kata sandi dikirim melalui jaringan dalam teks yang jelas. Server Windows tidak mengizinkan koneksi ke file atau printer bersama dengan otentikasi teks yang jelas. Satu-satunya situasi yang saya ketahui adalah masuk dari dalam skrip ASP menggunakan ADVAPI atau ketika pengguna masuk ke IIS menggunakan mode otentikasi dasar IIS. Dalam kedua kasus, proses masuk dalam deskripsi acara akan mencantumkan advapi. Otentikasi dasar hanya berbahaya jika tidak dibungkus dalam sesi SSL (yaitu https). Sejauh login yang dibuat oleh ASP, skrip ingat bahwa menanamkan kata sandi dalam kode sumber adalah praktik yang buruk untuk tujuan pemeliharaan serta risiko bahwa seseorang yang jahat akan melihat kode sumber dan dengan demikian mendapatkan kata sandi.

Saya akan menjalankan netstat -a -n | find "1232"untuk melihat apa proses port ID (PID) 1232 mendengarkan. Itu PID yang menghasilkan kegagalan otentikasi ini. Anda dapat mengendus lalu lintas yang masuk pada port tersebut untuk melacak sumbernya.

(Saya mengalami kesulitan membuat layanan yang berjalan dalam-proses dengan svchost.exedan mendengarkan otentikasi. Hampir terasa pihak ketiga bagi saya ...)

The logon tipe 8 terjadi ketika password yang dikirim melalui jaringan dalam bentuk teks . Otentikasi dasar di IIS adalah penyebab yang paling mungkin untuk kegagalan login semacam ini. Adapun yang saya tahu ada lima layanan berbasis Microsoft IIS yang umum digunakan dengan Otentikasi Dasar oleh pengguna akhir baik melalui Desktop atau perangkat Mobile mereka , seperti klien OWA , MS Exchange ActiveSync , Outlook Anywhere , klien FTP dan server SharePoint .

Ketika seorang pengguna akhir menghubungkan klien OWA diaktifkan otentikasi dasar dari desktop-pc / perangkat mobile mereka dengan kata sandi yang salah, peristiwa 4625 dengan tipe logon 8 akan login di Exchange Server yang menjadi tuan rumah OWA.

Lihat artikel ini: http://www.morgantechspace.com/2014/12/Find-Account-Lockout-Source-for-Logon-Type-8.html