ID evento 4625 senza IP di origine

Stiamo utilizzando un totale di 7 edizioni standard di Windows Server (2008/2012) R2 per ambienti di sviluppo e produzione. Il mese scorso i nostri server sono stati compromessi e abbiamo trovato molti log dei tentativi non riusciti nel Visualizzatore eventi di Windows. Abbiamo provato IDDS cyberarm ma non si è rivelato buono prima.

Ora abbiamo ripreso l'immagine di tutti i nostri server e ribattezzato account amministratore / guest. E dopo aver impostato nuovamente i server stiamo usando questi ID per rilevare e bloccare indirizzi IP indesiderati.

L'IDDS sta funzionando bene ma stiamo ancora ricevendo 4625 eventi nel Visualizzatore eventi senza alcun indirizzo IP di origine. Come posso bloccare queste richieste da indirizzi IP anonimi?

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'>
  <System>
    <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
    <EventID>4625</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime='2015-04-18T15:18:10.818780700Z'/>
    <EventRecordID>187035</EventRecordID>
    <Correlation/>
    <Execution ProcessID='24876' ThreadID='133888'/>
    <Channel>Security</Channel>
    <Computer>s17751123</Computer>
    <Security/>
  </System>
  <EventData>
    <Data Name='SubjectUserSid'>S-1-0-0</Data>
    <Data Name='SubjectUserName'>-</Data>
    <Data Name='SubjectDomainName'>-</Data>
    <Data Name='SubjectLogonId'>0x0</Data>
    <Data Name='TargetUserSid'>S-1-0-0</Data>
    <Data Name='TargetUserName'>aaron</Data>
    <Data Name='TargetDomainName'>\aaron</Data>
    <Data Name='Status'>0xc000006d</Data>
    <Data Name='FailureReason'>%%2313</Data>
    <Data Name='SubStatus'>0xc0000064</Data>
    <Data Name='LogonType'>3</Data>
    <Data Name='LogonProcessName'>NtLmSsp </Data>
    <Data Name='AuthenticationPackageName'>NTLM</Data>
    <Data Name='WorkstationName'>SSAWSTS01</Data>
    <Data Name='TransmittedServices'>-</Data>
    <Data Name='LmPackageName'>-</Data>
    <Data Name='KeyLength'>0</Data>
    <Data Name='ProcessId'>0x0</Data>
    <Data Name='ProcessName'>-</Data>
    <Data Name='IpAddress'>-</Data>
    <Data Name='IpPort'>-</Data>
  </EventData>
</Event>

AGGIORNAMENTO: Dopo aver verificato i log del mio firewall, penso che questi eventi 4625 non siano comunque correlati a Rdp, ma potrebbero essere SSH o altri tentativi con cui non ho familiarità

L'indirizzo IP per tentativi RDP non riusciti viene registrato qui anche con NLA abilitato (non sono necessarie modifiche) (testato su Server 2012 R2, non sono sicuro delle altre versioni)

Registri applicazioni e servizi> Microsoft-Windows-RemoteDesktopServices-RdpCoreTS / Operational (ID evento 140)

Esempio di testo registrato:

Una connessione dal computer client con un indirizzo IP di 108.166.xxx.xxx non è riuscita perché il nome utente o la password non sono corretti.

XML:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-RemoteDesktopServices-RdpCoreTS" Guid="{1139C61B-B549-4251-8ED3-27250A1EDEC8}" /> 
  <EventID>140</EventID> 
  <Version>0</Version> 
  <Level>3</Level> 
  <Task>4</Task> 
  <Opcode>14</Opcode> 
  <Keywords>0x4000000000000000</Keywords> 
  <TimeCreated SystemTime="2016-11-13T11:52:25.314996400Z" /> 
  <EventRecordID>1683867</EventRecordID> 
  <Correlation ActivityID="{F4204608-FB58-4924-A3D9-B8A1B0870000}" /> 
  <Execution ProcessID="2920" ThreadID="4104" /> 
  <Channel>Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational</Channel> 
  <Computer>SERVER</Computer> 
  <Security UserID="S-1-5-20" /> 
  </System>
- <EventData>
  <Data Name="IPString">108.166.xxx.xxx</Data> 
  </EventData>
  </Event>

Questa è una limitazione nota con l'evento 4625 e le connessioni RDP che utilizzano TLS / SSL. Sarà necessario utilizzare la crittografia RDP per le impostazioni del server desktop remoto o ottenere un prodotto IDS migliore.

È necessario utilizzare Windows Firewall integrato e le relative impostazioni di registrazione. I registri ti diranno gli indirizzi IP di tutti i tentativi di connessione in entrata. Dal momento che lei ha detto che tutti i server sono connessi a Internet, non c'è davvero nessuna scusa per non utilizzare il firewall di Windows come parte della vostra strategia di difesa in profondità. Consiglio in particolare di non disattivare l'NLA (autenticazione a livello di rete) poiché molti degli attacchi a RDP in passato sono stati storicamente mitigati dall'uso di NLA e hanno interessato solo gli host di sessione RDP che eseguono solo la crittografia RDP classica.

Questo evento è generalmente causato da credenziali nascoste non aggiornate. Prova questo dal sistema dando l'errore:

Da un prompt dei comandi eseguito: psexec -i -s -d cmd.exe
Dalla nuova esecuzione cmd della finestra: rundll32 keymgr.dll,KRShowKeyMgr

Rimuovere tutti gli elementi che compaiono nell'elenco di nomi utente e password memorizzati. Riavvia il computer.