Windows Server 2008 安全性日誌大量「稽核失敗」事件 ID 4624：偵測暴力破解嘗試與防火牆封鎖攻擊 IP

Windows Server 2008 安全性記錄短時間內湧現大量「稽核失敗」事件 (ID 4624)，每分鐘約 8 筆，來源 IP 固定 (58.211.7.237)，顯示為登入類型 3 (網路登入)、登入程序 svchost.exe，判斷為自動化暴力破解攻擊。本文示範透過進階防火牆建立輸入封鎖規則阻絕攻擊來源。

現象與判斷

• 事件 ID 4624 (註：4624 實為成功登入，若為失敗應為 4625，原文可能筆誤) 大量重複
• 來源網路位址固定，短時間高頻率
• 登入類型 3 = 網路登入 (非互動式)，常見於 SMB/RDP/服務嘗試
• 推測為字典攻擊或憑證填充攻擊

處理步驟：建立防火牆輸入封鎖規則

1. 開啟「伺服器管理員」 → 「設定」 → 「進階安全性 Windows 防火牆」 → 「輸入規則」
2. 右側動作 → 「新增規則」
3. 規則類型：「自訂」 → 下一步
4. 程式：「所有程式」 → 下一步
5. 通訊協議類型：「任何」 (或限定 TCP/UDP) → 下一步
6. 範圍：「遠端 IP 位址」→ 「新增」 → 輸入攻擊者 IP 58.211.7.237 → 確定 → 下一步
7. 動作：選「封鎖連線」 → 下一步
8. 設定檔：全選「網域」、「私人」、「公用」 → 下一步
9. 名稱：「封鎖暴力破解 IP 58.211.7.237」 → 完成

驗證成效

• 規則生效後，安全性記錄不再出現該 IP 來源的登入事件
• 攻擊者嘗試連線將直接被防火牆丟棄，不消耗系統驗證資源

進階防護建議：
1. 啟用帳號鎖定原則 (錯誤嘗試 5 次鎖定 30 分鐘)
2. 變更 RDP 預設埠 3389
3. 部署入侵偵測系統 (IDS) / 登入失敗自動封鎖腳本 (如 Fail2Ban for Windows)
4. 定期檢視安全性記錄，建立基準與異常警報