- ベストアンサー
サーバーへのアタック？ログイン失敗のイベントログが大量発生
- リモートデスクトップのイベントログに、ログイン失敗のイベントログが大量にあります。セキュリティについて考えていなかったため、不正アクセスの可能性が心配です。OSの再インストールやセキュリティ対策の方法を知りたいです。
- クライアント名 a のリモート セッションが最大失敗ログイン試行回数を超過し、セッションが強制終了されました。ログイン失敗のイベントログが1:30から15秒おきに続いています。パスワードの総当たりのアタックの可能性があります。
- 不正なリモートデバイスのリダイレクトが無効にされているログも表示されています。情報の流出などの被害が心配です。サーバーを借りて間もないので特に心配です。初めてのサーバーでセキュリティ対策がわからず困っています。
- みんなの回答 （2）
- 専門家の回答
質問者が選んだベストアンサー
私のマシンにも同様のログが記録されていました。 私もアタックだと推測します。 同じ3389ポートに間違えてリモート接続しに来るユーザーがいないとも限りませんが、 ・ログ間隔がとても人間が試行した都は思えないほど短いこと ・きっかり２０分試行したのが、複数の日に記録されていること ・クライアントが「a」なんて作らないでしょ、普通 ここで同様の書き込みを見つけ、確信した次第です。 こちら（http://questionbox.jp.msn.com/qa7829324.html）に 別観点からの質問を立てましたのでこちらも参照してください。 私のマシンでは、アプリケーションとサービス ログ/Microsoft/Windows/ TerminalServices-RemoteConnectionManager/Operationalに以下のログがありました。 ----------------------------------------------------------- ソース：TerminalServices-RemoteConnectionManage イベントID：1149 リモート デスクトップ サービス: ユーザー認証に成功しました: ユーザー: root ドメイン: ソース ネットワーク アドレス: 103.4.225.200 ----------------------------------------------------------- ユーザーはroot、user1、administratorなど様々で、 IPアドレスはいくつかありましたがすべて中国からの物でした。 sharo0331さんのマシンにはこのようなログが残っていませんか？ こちらの質問の回答としては、 ・リモートデスクトップを外部に解放するのをやめる →ルータでブロックする（ルータのIPマスカレード設定を止める） →リモートデスクトップの接続を中止する （システムのプロパティー→リモートの設定→このコンピュータへの接続を許可しない） ・リモートデスクトップの中止が出来ないなら、 →ポート番号を標準の3389から別の番号に変更する （方法はOSごとに違うのでググってください） →自分のユーザーID以外の不要なリモート接続を禁止する →オプションをネットワーク認証レベルに上げる まぁ、気休めですが、セキュリティーホールが無ければ 不正ログインは抑止できるでしょう。
その他の回答 (1)
- localica
- ベストアンサー率52% (202/385)
>パスワードの総当たりのアタック？だとなんとなく推測した なぜでしょうか？ >これは侵入されてなにかしらことをされた、であってるのでしょうか イベントIDが記載されていないので断言できませんが、まず間違っていると思います。 http://technet.microsoft.com/ja-jp/library/cc772448%28v=ws.10%29.aspx >正直どうすればいいのかわかりません。 少なくとも本を2～3冊購入して学習する必要があります。 初めてのサーバーなら講習会などに参加されると手っ取り早いと思います。 >OSの再インストールをしたほうがいいでしょうか 対応できなければ何回OSを再インストールしても解決しません。 サーバー、ネットワーク、セキュリティに関する知識を習得するのが最善だと思います。
お礼
ユーザー認証が成功したというログはありませんでした。 ポートを50000番代に変えてログが綺麗になくなりました。 多分アタックであってたのだとおもいます。