Sur un serveur Windows 2008 édition entreprise, rien n'a changé mais depuis peu, il y a de nombreuses csrss.exe , LogonUI.exe , svchost.exe y winlogon.exe processus dans le gestionnaire de tâches.
Cela signifie-t-il que certaines sessions distantes sont actives (le serveur est compromis) ou quoi ?
EDITAR:
J'ai vérifié les journaux d'événements et il semble que quelqu'un essaie de se connecter avec Administrator utilisateur. Il semble s'agir d'un outil automatisé. Comment puis-je me défendre (bloquer l'IP du pirate...) ?
Voici le journal :
An account failed to log on.
...
Logon Type: 10
Account For Which Logon Failed:
Security ID: NULL SID
Account Name: Administrator
Account Domain: ...
Failure Information:
Failure Reason: Unknown user name or bad password.
Status: ...
Sub Status: ...
Process Information:
Caller Process ID: ...
Caller Process Name: C:\Windows\System32\winlogon.exe
Network Information:
Workstation Name: ...
Source Network Address: ...
Source Port: ...
Detailed Authentication Information:
Logon Process: NtLmSsp
Authentication Package: NTLM
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
This event is generated when a logon request fails. It is generated on the computer where access was attempted.
...
