Tentativo di attacco sul dominio?

23_Alby23 · 15-09-2011, 10:28

Un cliente sta riscontrando, in uno dei suoi stabilimenti, una situazione strana.

In pratica collegandosi all'LDAP del dominio, analizzando tutti gli utenti di dominio, si hanno i valori relativi al campo badPasswordTime molto recenti ed in continuo aggiornamento (e, soprattutto, in orari non da ufficio).

Ora, non so se c'e' qualcuno che ha qualche script o simili che prova l'autenticazione o se, piu' probabilmente, c'e' qualcosa di infetto che circola e prova queste autenticazioni.
Fatto sta che questa situazione non e' sostenibile.

La domanda.
Esiste un qualcosa (sniffer o quello che volete) in grado di analizzare da chi arrivano i tentavi di login sul dominio?

Qualsiasi input e' utile...
Thanks!

23_Alby23 · 15-09-2011, 11:04

Aggiungo.

Il dominio e' Windows 2003.
L'event viewer, voce Security, presenta gli eventi ID 675 che corrispondo ad una fallita autenticazione ma indicano solo lo username e l'IP sorgente. Io vorrei qualcosa di piu'... che so, un log continuo con MAC Address ad esempio...

ezio · 16-09-2011, 10:40

Utilizza la sezione sull'amministrazione dei server.

15-09-2011, 10:28	#1
23_Alby23 Senior Member Iscritto dal: Jul 2004 Messaggi: 1364	Tentativo di attacco sul dominio? Un cliente sta riscontrando, in uno dei suoi stabilimenti, una situazione strana. In pratica collegandosi all'LDAP del dominio, analizzando tutti gli utenti di dominio, si hanno i valori relativi al campo badPasswordTime molto recenti ed in continuo aggiornamento (e, soprattutto, in orari non da ufficio). Ora, non so se c'e' qualcuno che ha qualche script o simili che prova l'autenticazione o se, piu' probabilmente, c'e' qualcosa di infetto che circola e prova queste autenticazioni. Fatto sta che questa situazione non e' sostenibile. La domanda. Esiste un qualcosa (sniffer o quello che volete) in grado di analizzare da chi arrivano i tentavi di login sul dominio? Qualsiasi input e' utile... Thanks!

16-09-2011, 10:40	#3
ezio Senior Member Iscritto dal: Apr 2001 Città: Giovinazzo(BA) ...bella città, riso patat e cozz a volontà! Messaggi: 26494	Utilizza la sezione sull'amministrazione dei server. __________________ Ezio Lacandia on DeviantArt \| Slimkat mod per N4 e N5 \| Trattative mercatino HWU \| Driver nForce NET Framework [Guida] \| BSOD individuazione cause \| Guida Sintetica Strap/Divisori P45 \| Fix associazioni Vista/7 Problemi Win Installer \| Avviare programmi senza richiesta UAC \| Problemi Font \| Guida Raccolte 7 \| Win 32/64bit come perchè

15-09-2011, 11:04	#2
23_Alby23 Senior Member Iscritto dal: Jul 2004 Messaggi: 1364	Aggiungo. Il dominio e' Windows 2003. L'event viewer, voce Security, presenta gli eventi ID 675 che corrispondo ad una fallita autenticazione ma indicano solo lo username e l'IP sorgente. Io vorrei qualcosa di piu'... che so, un log continuo con MAC Address ad esempio...

Strumenti
Mostra una versione stampabile Invia questa pagina per email