最近2周一直被一个问题困扰,有用户频繁被锁定。但是无法找到用户从哪里发送的验证信息。
原因是为了加强安全监控,启用了用户账户锁定的通知。这个锁定通知是通过事件日志结合计划任务发送的,具体如何操作可以参考之前的文章《监控账户登录》或者《Windows 2012 R2 计划任务发送邮件》。
账户被锁定的唯一原因就是频繁的提供错误凭据做身份验证。当错误次数超过组策略里配置的限制次数后就会被锁定一段时间。锁定时间同样也是在组策略里配置的。这种锁定策略可以有效的保护账户安全,避免暴力破解。
现在账户被频繁锁定,我们必须找到源头,然后判断是否存在攻击。一旦用户账户被盗取,之后会引发一系列的垃圾邮件,病毒传播等问题。账户锁定的事件ID是4740,在PDC上会记录。
这里通常会记录客户端的计算机名,Source Workstation。但是这里记录的却是WORKSTATION。一般不会有计算机会改成这个名字的。后来经过2天的查找,也没有找到这个名为 WORKSTATION的计算机。
进一步检查安全日志,会发现有4776的登录失败的日志。但是记录的也只是WORKSTATION。4776,MICROSOFT_AUTHENTICATION_PACKAGE_V1_0 只能说明这是一个NTLM的验证行为。并不是Kerberos验证,否则会有4771的日志,并且能显示客户端IP。0xC000006A表示用户名正确,但是密码错误。