Windows Server 2008 安全性事件記錄中大量出現「稽核失敗」事件 ID 4624 (每分鐘約 8 筆)，顯示持續的登入嘗試。這通常代表遭受暴力破解攻擊 (Brute Force) 或認證填充攻擊。本文說明如何查看詳細稽核記錄、識別攻擊來源、強化防禦設定。
查看詳細稽核記錄
- 開啟「事件檢視器」 (eventvwr.msc) → 「Windows 記錄」→「安全性」。
- 篩選事件 ID 4624 (登入成功) 或 4625 (登入失敗/稽核失敗)。
- 查看事件詳細資訊中的關鍵欄位：
- 登入類型 (Logon Type)： 3=網路登入 (共用資料夾/IIS)、10=遠端桌面 (RDP)、2=互動式登入 (本機)。
- 來源網路位址 (Source Network Address)： 攻擊者 IP 位址 (若為 ::1 表示本機)。
- 帳戶名稱 (Account Name)： 被嘗試的帳號 (Administrator、Guest、自訂帳號)。
- 失敗原因/狀態碼： 如 0xC000006A (密碼錯誤)、0xC0000064 (帳號不存在)。
- 程序資訊： 呼叫登入的程式 (如 lsass.exe、svchost.exe、mstscax.dll)。
圖 1：事件檢視器篩選稽核失敗事件
圖 2：事件 ID 4624 詳細屬性
圖 3：登入類型代碼對照表
攻擊類型判斷
| 徵兆 | 可能攻擊類型 | 登入類型 |
|---|
| 大量不同 IP 嘗試同一帳號 (Administrator) | 分散式暴力破解 | 10 (RDP) / 3 (網路) |
| 固定 IP 高頻嘗試字典帳號 | 字典攻擊/認證填充 | 10 / 3 |
| 本機服務帳號 (SYSTEM/NETWORK SERVICE) 失敗 | 服務設定錯誤/密碼過期 | 5 (服務啟動) |
應對與防禦策略
- 立即封鎖攻擊 IP： Windows 防火牆新增輸入規則封鎖來源 IP 段；或前端防火牆/路由器封鎖。
- 停用/重命名 Administrator 帳號： 建立新管理員帳號 → 停用內建 Administrator → 降低被猜測機率。
- 強制強密碼原則：
gpedit.msc → 帳戶原則 → 密碼原則 → 啟用複雜度、長度≥12、歷史記憶、最長使用期限。
- 啟用帳戶鎖定原則： 閾值 5 次失敗 → 鎖定 30 分鐘 → 自動解鎖，阻斷暴力破解。
- 變更 RDP 預設埠 (3389)： 登錄表
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber 修改為非常用埠 (如 53389)。
- 限制 RDP 存取來源： 防火牆規則僅允許管理 IP 區段存取 RDP 埠。
- 部署入侵防禦系統 (IPS) / Fail2Ban 風格腳本： 自動分析事件日誌封鎖異常 IP。
- 啟用網路層級驗證 (NLA)： 系統內容 → 遠端 → 僅允許執行 NLA 的遠端桌面連線 (需客戶端支援)。
稽核原則微調 (避免日誌暴增)
gpedit.msc → 安全性設定 → 稽核原則 → 「稽核登入事件」→ 僅勾選「失敗」 (若成功登入極多) 或配合 SIEM 集中分析。
持續監控安全性事件日誌、建立基線、自動化異常告警，是伺服器安全運維的核心能力。針對大量稽核失敗事件，必須「查日誌識別攻擊 → 封鎖來源 → 強化認證 → 縮小攻擊面」四步驟同步執行。
