admin 管理员组

文章数量: 1184232

Windows SMB/RDP日志溯源总结

在以往涉及到Windows安全事件处理的时候，经常需要分析windows日志。对日志进行分析溯源的时候SMB/RDP日志是非常重要的一部分。比如：RDP入侵植入勒索病毒，drivelife等利用SMB暴力破解传播的病毒。

注：本文举例均为win7系统。

一、日志提取

  1. 使用“eventvwr.exe”直接打开事件管理器，可以直接查看和筛选日志。

  2. 直接访问日志文件路径也可提取
    C:\Windows\System32\winevt\Logs
    一般重点关注security.evtx、setup.evtx、system.evtx这三个日志

    SMB登录日志主要是看安全日志，RDP登录日志除了安全日志之外还有其他多种方法

  3. 部分情况下安全日志被攻击者清空，查看RDP登录成功事件可以访问以下路径。记录了哪些源IP利用RDP方式成功登陆到了本机。
    Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational

  4. 注册表:
    HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers\
    此路径记录了当前主机曾经登录过了哪些服务器。

  5. 在安全日志里面筛选事件ID5156日志，可以看到本机在什么时候访问了其他服务器的3389端口

  6. 有些系统不记录日志或者只记录登录成功日志，需要在组策略里面开启审核。

    我这里是勾选了大部分，审核的东西越多，产生的日志量越大，一般选择箭头标红的这几个就可以了。

二、登陆类型与事件ID

  1. windows登录类型

可以参考微软官方文档：管理工具和登录类型

在这里：我们主要关注：
登录类型：2 交互式登录（也称为“本地登录”）
登录类型：3 Network (网络)
登录类型：10 远程桌面（以前称为“终端服务”）

通常情况下，smb产生的日志类型为登录类型3，rdp登录日志为登录类型10。在部分暴力破解的工具下，rdp暴力破解可能在日志上会显示登录类型3且不记录源IP。

使用hydra爆破rdp，windows


日志上没有记录源IP

  1. 事件ID
    一般来说我们需要关注以下两种事件ID类型：
    4624 —— 帐户已成功登录
    4625 —— 帐户无法登录
    1149 —— 用户认证成功

事件分析举例

  1. 使用hydra对主机进行SMB暴力破解

在某应急事件现场，发现恶意文件生成时间为xx年xx月xx日，则以此为时间点，提取日志进行分析。

可以看到爆破成功登录时间，源地址等信息，以此确定登录源地址。

日志分析工具

LogParser 工具可以快速分析日志情况，具体用法这里就不再赘述了。

本文标签： 日志 Windows SMB RDP

版权声明：本文标题：Windows SMBRDP日志溯源总结 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://roclinux.cn/b/1739884049a2099922.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。