West_Wu 发表于 2023-11-27 10:06
  
每天学习一点点,每天进步一点点
shuyangzjg 发表于 2024-3-7 17:22
  
有分析结果不,这块的检测感觉不太准
【EDR】内网终端大量暴力破解告警排查
  

贺智文 37033人觉得有帮助

{{ttag.title}}
本帖最后由 贺智文 于 2023-7-21 09:41 编辑

1、问题背景
客户反馈EDR上有大量 暴力破解的告警,攻击源IP都是内网电脑,查杀没有任何病毒

2、排查过程
①跟客户确认目的服务器是邮件服务器,但是没有开放445等SMB端口。
测试smb的445端口是不通的

②服务器上查看事件日志,确实能对应,登录类型3就是smb
③感觉这个可能是邮件登录失败,被记录到登录类型3  smb类型了。叫客户跟邮件服务供应商确认一下。

④同时百度查到相关案例,参考链接https://www.cnblogs.com/Zbuxu/p/13392367.html
难道是这个邮件登录也会被认为是网络层登录,记录到smb爆破里面?EDR就是分析服务器的安全日志来产生告警的。

⑤查看同样其它告警的爆破的目标服务器,都是同样登录类型,这个验证凭据的时候,也产生了一个4625 类型3的审核失败。参考链接:https://learn.microsoft.com/en-u ... edential-validation

⑥windows安全日志记录了登录类型3的失败日志,所以edr提示被爆破了。通过百度有好几种情况 不一定是开放了smb服务。
询问客户服务器上如果不需要NTLM 就关掉测试。客户反馈使用outlook邮箱保存密码的时候,用的就是ntlm。

3、排查结果
①EDR暴力破解告警目前是根据事件登陆类型来匹配,类型3代表SMB,类型10代表RDP。但是产生类型3的行为有挺多种,EDR暂时不能深入区分
②该场景可以针对这邮件服务器单独把爆破检测改为只检测不处置避免加黑名单影响正常使用

打赏鼓励作者,期待更多好文!

打赏
27人已打赏

发表新帖
热门标签
全部标签>
每日一问
2024年技术争霸赛
安装部署配置
技术盲盒
干货满满
技术笔记
产品连连看
2023技术争霸赛专题
每周精选
功能体验
信服课堂视频
新版本体验
秒懂零信任
GIF动图学习
运维工具
技术晨报
自助服务平台操作指引
功能咨询
通用技术
问题分析处理
标准化排查
纪元平台
技术咨询
排障笔记本
华北区交付直播
畅聊IT
专家问答
技术圆桌
测试报告
每日一记
用户认证
原创分享
解决方案
VPN 对接
项目案例
SDP百科
地址转换
存储
技术争霸赛
深信服技术支持平台
卧龙计划
北京区每日一练
答题自测
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
日志审计
流量管理
云计算知识
sangfor周刊
SANGFOR资讯
专家分享
技术顾问
信服故事
终端接入
授权
设备维护
资源访问
虚拟机
迁移
加速技术
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV

本版版主

217
278
151

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

二进制网络

本周分享达人