Recibo muchos intentos fallidos de inicio de sesión (1 por segundo) en un servidor Windows 2008, ya he configurado la política de seguridad local para bloquear automáticamente una cuenta después de demasiados intentos de inicio de sesión, pero hay una manera de incluir automáticamente una dirección IP en el firewall de Windows para que se bloquee temporalmente (por ejemplo, durante 30 minutos)?
1
Estás abordando este problema desde la perspectiva incorrecta. Si recibe intentos fallidos de inicio de sesión que con frecuencia necesita encontrar el origen (disponible en el registro de seguridad) y solucionarlo. Bloquear una IP temporalmente porque está inundando su servidor con intentos de inicio de sesión solo va a enmascarar el problema temporalmente.
—
Chris McKeown
@ChrisMcKeown No entiendo lo que estás diciendo por 'fuente' en tu comentario. ¿Te refieres al servicio que está abierto en el servidor o algo más? Veo la pregunta como bastante válida y en las máquinas Unix también bloqueo a los delincuentes repetidos todo el tiempo.
—
mikebabcock
El intento de inicio de sesión fallido tiene que venir de algún lugar, ya sea un usuario o un servicio o ejecutable que se ejecuta como un usuario en particular. La fuente (es decir, la máquina remota que está intentando iniciar sesión) se registrará en el registro de seguridad. Los intentos fallidos a razón de uno por segundo es probablemente algo que justifica una mayor investigación en lugar de simplemente bloquear la fuente por un tiempo (¿qué logra eso?)
—
Chris McKeown
Para responder arriba, mi registro de eventos muestra muchas direcciones IP diferentes de todo el mundo. Comencé a agregar algunos de ellos manualmente a una lista de bloqueo en el firewall, pero una forma automática sería bienvenida. No quiero excluir rangos, para evitar excluir IP válidas. La única razón para desbloquear después de un tiempo es porque podría excluir puertas de enlace que nuevamente podrían tener otros usuarios válidos. Solo quiero desalentar cualquier intento de pirateo.
—
Allie