J'ai une machine virtuelle Windows Server 2016 accessible au public. Le port du bureau à distance a été changé de sa valeur par défaut à un nombre supérieur à 20 000.
Il n'y a rien d'intéressant hébergé sur cette machine virtuelle. Je l'utilise simplement comme un banc d'essai pour le développement de logiciels.
Cependant, je reçois toujours des échecs d'audit quotidiens (ID d'événement 4625) dans le journal des événements Windows.
L'adresse réseau source est généralement en Europe (je suis aux États-Unis et aucun trafic d'utilisateur n'est attendu en provenance d'Europe ou d'ailleurs. Comme je l'ai mentionné ci-dessus, la machine virtuelle n'héberge pas vraiment grand-chose, mais IIS est en cours d'exécution). Les noms d'utilisateur semblent provenir d'une sorte de dictionnaire de noms souvent utilisés, y compris des comptes par défaut de Windows comme Administrateur (qui a été renommé sur ma machine virtuelle)
Y a-t-il un moyen de savoir quel protocole ils utilisent? C'est-à-dire, s'agit-il du Bureau à distance ou pourrait-il s'agir de quelque chose d'autre (essayent-ils de parcourir des partages réseau? Je n'en ai pas créé)? Je ne peux pas le dire en regardant le journal des événements.
Avant de changer le port du Bureau à distance par défaut pour un nombre compris dans la plage des 20 000 et plus, je ne serais pas surpris que ce soit le Bureau à distance. Mais maintenant, je trouve cela difficile à croire. Est-ce que quelqu'un scannerait vraiment tous les ports jusqu'à 20 000 et plus juste pour trouver un port du Bureau à distance ouvert sur une adresse IP aléatoire?
