J'ai une machine virtuelle Windows Server 2016 accessible au public. Le port du bureau à distance a été changé par défaut à un nombre supérieur à 20 000.
Il n'y a rien d'intéressant hébergé sur cette VM. Je l'utilise simplement comme bac à sable pour le développement de logiciels.
Cependant, je reçois encore des échecs d'audit quotidiens (ID d'événement 4625) dans le journal des événements de Windows.
L'adresse IP source est généralement située en Europe (je suis aux États-Unis et aucun trafic utilisateur n'est attendu en provenance d'Europe ou d'ailleurs. Comme je l'ai mentionné ci-dessus, la VM n'héberge pas vraiment grand chose mais IIS est en cours d'exécution). Les noms d'utilisateur semblent provenir d'un type de dictionnaire de noms souvent utilisés, y compris les comptes par défaut de Windows comme Administrateur (qui est renommé sur ma VM)
Y a-t-il un moyen de savoir quel protocole ils utilisent? C'est-à-dire, est-ce le Bureau à distance ou cela pourrait-il être autre chose (essaient-ils d'accéder aux partages réseau? Je n'en ai créé aucun)? Je ne peux pas le dire en regardant le journal des événements.
Avant que je ne change le port par défaut du Bureau à distance au nombre supérieur à 20 000, je ne serais pas surpris que ce soit le Bureau à distance. Mais maintenant, je trouve cela difficile à croire. Est-ce que quelqu'un scannerait vraiment tous les ports jusqu'à 20 000 et plus juste pour trouver un port de Bureau à distance ouvert sur une adresse IP aléatoire?
