Id. De evento 4625 sin IP de origen

Estamos utilizando un total de 7 Windows Server (2008/2012) R2 Standard Editions para entornos de desarrollo y producción. El mes pasado nuestros servidores se vieron comprometidos y encontramos muchos intentos fallidos de registro en el visor de eventos de Windows. Probamos los IDDS de cyberarms, pero no demostró ser bueno antes.

Ahora hemos reimpreso todos nuestros servidores y hemos cambiado el nombre de las cuentas de administrador / invitado. Y después de configurar los servidores nuevamente, estamos usando estos idds para detectar y bloquear direcciones IP no deseadas.

El IDDS funciona bien, pero aún estamos obteniendo 4625 eventos en el visor de eventos sin ninguna dirección IP de origen. ¿Cómo puedo bloquear estas solicitudes de direcciones IP anónimas?

<Event xmlns='http://schemas.microsoft.com/win/2004/08/events/event'>
  <System>
    <Provider Name='Microsoft-Windows-Security-Auditing' Guid='{54849625-5478-4994-A5BA-3E3B0328C30D}'/>
    <EventID>4625</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime='2015-04-18T15:18:10.818780700Z'/>
    <EventRecordID>187035</EventRecordID>
    <Correlation/>
    <Execution ProcessID='24876' ThreadID='133888'/>
    <Channel>Security</Channel>
    <Computer>s17751123</Computer>
    <Security/>
  </System>
  <EventData>
    <Data Name='SubjectUserSid'>S-1-0-0</Data>
    <Data Name='SubjectUserName'>-</Data>
    <Data Name='SubjectDomainName'>-</Data>
    <Data Name='SubjectLogonId'>0x0</Data>
    <Data Name='TargetUserSid'>S-1-0-0</Data>
    <Data Name='TargetUserName'>aaron</Data>
    <Data Name='TargetDomainName'>\aaron</Data>
    <Data Name='Status'>0xc000006d</Data>
    <Data Name='FailureReason'>%%2313</Data>
    <Data Name='SubStatus'>0xc0000064</Data>
    <Data Name='LogonType'>3</Data>
    <Data Name='LogonProcessName'>NtLmSsp </Data>
    <Data Name='AuthenticationPackageName'>NTLM</Data>
    <Data Name='WorkstationName'>SSAWSTS01</Data>
    <Data Name='TransmittedServices'>-</Data>
    <Data Name='LmPackageName'>-</Data>
    <Data Name='KeyLength'>0</Data>
    <Data Name='ProcessId'>0x0</Data>
    <Data Name='ProcessName'>-</Data>
    <Data Name='IpAddress'>-</Data>
    <Data Name='IpPort'>-</Data>
  </EventData>
</Event>

ACTUALIZACIÓN: Después de verificar los registros de mi firewall, creo que estos 4625 eventos no están relacionados con Rdp de todos modos, pero pueden ser SSH o cualquier otro intento con el que no estoy familiarizado

La dirección IP para intentos fallidos de RDP se registra aquí incluso con NLA habilitado (no se requieren ajustes) (probado en Server 2012 R2, no estoy seguro acerca de otras versiones)

Registros de aplicaciones y servicios> Microsoft-Windows-RemoteDesktopServices-RdpCoreTS / Operational (Event ID 140)

Ejemplo de texto registrado:

Una conexión desde la computadora cliente con una dirección IP de 108.166.xxx.xxx falló porque el nombre de usuario o la contraseña no son correctos.

XML:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="Microsoft-Windows-RemoteDesktopServices-RdpCoreTS" Guid="{1139C61B-B549-4251-8ED3-27250A1EDEC8}" /> 
  <EventID>140</EventID> 
  <Version>0</Version> 
  <Level>3</Level> 
  <Task>4</Task> 
  <Opcode>14</Opcode> 
  <Keywords>0x4000000000000000</Keywords> 
  <TimeCreated SystemTime="2016-11-13T11:52:25.314996400Z" /> 
  <EventRecordID>1683867</EventRecordID> 
  <Correlation ActivityID="{F4204608-FB58-4924-A3D9-B8A1B0870000}" /> 
  <Execution ProcessID="2920" ThreadID="4104" /> 
  <Channel>Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational</Channel> 
  <Computer>SERVER</Computer> 
  <Security UserID="S-1-5-20" /> 
  </System>
- <EventData>
  <Data Name="IPString">108.166.xxx.xxx</Data> 
  </EventData>
  </Event>

Esta es una limitación conocida con el evento 4625 y las conexiones RDP que usan TLS / SSL. Deberá usar el cifrado RDP para la configuración del servidor de escritorio remoto u obtener un mejor producto IDS.

Debe usar el Firewall de Windows incorporado y su configuración de registro. Los registros le indicarán las direcciones IP de todos los intentos de conexión entrantes. Como mencionó que todos sus servidores están conectados a Internet, realmente no hay excusa para no usar el Firewall de Windows como parte de su estrategia de defensa en profundidad. Recomendaría específicamente no desactivar NLA (autenticación a nivel de red), ya que muchos de los ataques a RDP en el pasado han sido mitigados históricamente por el uso de NLA y solo afectaron a los hosts de sesión RDP que ejecutan solo el cifrado RDP clásico.

Este evento generalmente es causado por una credencial oculta obsoleta. Pruebe esto desde el sistema que da el error:

Desde un símbolo del sistema, ejecute: psexec -i -s -d cmd.exe
Desde la nueva ventana de cmd, ejecute: rundll32 keymgr.dll,KRShowKeyMgr

Elimine cualquier elemento que aparezca en la lista de nombres de usuario y contraseñas almacenados. Reinicia la computadora.