文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

如何通过审计安全事件日志检测密码喷洒(Password Spraying)攻击

下图就是我自己编写的一个快速PowerShell脚本的密码喷洒： 在域控制器上针对SMB的密码喷洒会导致域控制器上的记录事件ID 4625表示为“登录失败”，并且大多数事件都会显示在记录日志中，因此发生这种情况时...上图显示了在密码喷洒的过程中，在域控制器上的登录事件ID 4625。然而，目前许多组织还没有创建关联规则，如果在发生密码喷洒的过程中，发生登录事件ID 4625，就会发生密码喷洒。...以下四个图显示在执行密码喷洒的工作站上记录的事件ID 4648，不过必须启用审计日志记录才能记录该事件ID。 如何对密码喷洒进行检测？...检测的主要方法包括： 1.启用适当的日志记录： 1.1域控制器：事件ID 4625的“审计登录”（成功与失败）。 1.2域控制器：事件ID 4771的“审计Kerberos验证服务”（成功与失败）。...1.3所有系统：事件ID 4648的“审计登录”（成功与失败）。 2.在1分钟内配置50 4625多个事件的警报。 3.在1分钟内为50 4771多个事件的警报的设置失败代码“0x18”。

3K30

如何实现日志审计功能？分享三个简单实用的方法，轻松学会日志审计

查看日志：在事件查看器中，可以筛选特定事件ID来查看关键活动，如4624表示成功登录，4625表示失败登录。...创建自定义视图：点击右侧的"创建自定义视图"按钮，在"筛选器"选项卡中设置条件。例如，要监控登录失败事件，可以在"事件ID"栏输入"4625"，或者在"关键字"栏搜索"审核失败"等术语。...网络搜索审计软件能捕获用户在搜索引擎中的关键词查询记录，包括百度、谷歌等搜索内容。6....聊天内容审计支持对主流即时通讯工具（如微信、QQ、钉钉等）的聊天记录进行审计。在合规前提下实现沟通内容留存，用于风险防控、服务质检与纠纷追溯，强化企业通信监管能力。...记住，在数字世界中，好的审计记录往往是在问题发生后查明原因、追责和改进的关键依据。小编：莎莎

81210
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Window日志分析

    安全日志记录着事件审计信息，包括用户验证（登录、远程访问等）和特定用户在认证后对系统做了什么，对于调查人员而言，更有帮助。...0x03 事件日志分析 对于Windows事件日志分析，不同的EVENT ID代表了不同的意义，摘录一些常见的安全事件的说明： 事件ID 说明 4624 登录成功 4625 登录失败 4634 注销成功...4624 --登录成功 4625 --登录失败 4634 -- 注销成功 4647 -- 用户启动的注销 4672 -- 使用超级用户（如管理员）进行登录 我们输入事件ID：4625进行日志筛选...，发现事件ID：4625，事件数175904，即用户登录失败了175904次，那么这台服务器管理员账号可能遭遇了暴力猜解。...登录失败的所有事件： LogParser.exe -i:EVT –o:DATAGRID "SELECT * FROM c:\Security.evtx where EventID=4625" 提取登录失败用户名进行聚合统计

    2.6K20

    Windows系统日志分析_windows日志命令

    (Windows 10) – Windows security | Microsoft Docs 登录失败如果在windows事件查看器 — Windows日志 — 安全 查看不到日志，可能是因为没有开启...在 “审核策略” — “审核登录事件” 开启 “成功” 和 “失败”的日志： 设置完再次mstsc登录失败，在安全日志可以查看到登录失败 事件ID 4625 的告警： 如果没有配置本地安全策略开启登录审计...Security (Event ID: 4624, Logon Type: 10) -TP Logging IP adderess during remote desktop connection 我是在...登录失败不清楚为什么会有1149 认证成功的日志。 这个日志可以用于远程登录失败的审计，无法审计登录成功。登录成功还是需要事先开启本地安全策略审核登录事件。...爆破成功的日志为很多 4625 中出现 4624，logintype 都是10。 如果看到 4778，4779 则表示 可能爆破时将正在登录的用户顶掉了。

    6.3K20

    Windows系统日志分析工具– Log Parser「建议收藏」

    4624 --登录成功 4625 --登录失败 4634 -- 注销成功 4647 -- 用户启动的注销 4672 -- 使用超级用户（如管理员）进行登录 系统： 1074，通过这个事件...104，这个时间ID记录所有审计日志清除事件，当有日志被清除时，出现此事件ID。 安全： 4624，这个事件ID表示成功登陆的用户，用来筛选该系统的用户登陆成功情况。...4625，这个事件ID表示登陆失败的用户。 4720,4722,4723,4724,4725,4726,4738,4740,事件ID表示当用户帐号发生创建，删除，改变密码时的事件记录。...Windows\System32\cmd.exe 进程创建 C:\Windows\System32\ipconfig.exe 进程终止 C:\Windows\System32\ipconfig.exe 3、在入侵提权过程中...FROM c:.evtx where EventID=4625" 3.

    7.7K21

    网络安全应急响应中的日志分析：从基础到实战

    它通过收集多源日志数据并集中解析，能够及时发现安全事件线索，事后还原事件过程，是等保安全事件处置和审计追溯的核心支撑。在当今复杂威胁环境下，攻击频率加快、规模扩大，攻击手段更加多样和隐蔽。...安全性日志：位于%SystemRoot%\System32\Winevt\Logs\Security.evtx，记录所有与安全相关的事件，如登录尝试、资源访问审计策略变更等。...5.2 攻击模式识别根据URL的访问特征，可以判断在11:17到11:21期间，网站可能遭受了Think PHP远程代码执行攻击：在11:31期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入可疑文件...shell.php在11:36期间，攻击者最后一次访问shell.php可疑文件在11:47期间第一次访问shell1.php文件在14:08期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入可疑文件...title.php在14:09期间攻击者利用Think PHP远程代码执行漏洞在网站根目录下成功写入了可疑文件foot.php5.3 证据链构建通过对Nginx日志进行分析，可以掌握三个可疑文件植入的过程

    74710

    Window应急响应（一）：FTP暴力破解

    查看Window安全日志，发现大量的登录失败记录： ? 0x02 日志分析 安全日志分析： 安全日志记录着事件审计信息，包括用户验证（登录、远程访问等）和特定用户在认证后对系统做了什么。...打开安全日志，在右边点击筛选当前日志， 在事件ID填入4625，查询到事件ID4625，事件数177007，从这个数据可以看出，服务器正则遭受暴力破解： ?...删除本地服务器FTP测试服务 0x03 预防处理措施 FTP暴力破解依然十分普遍，如何保护服务器不受暴力破解攻击，总结了几种措施： 1、禁止使用FTP传输文件，若必须开放应限定管理IP地址并加强口令安全审计...致力于分享原创高质量干货，包括但不限于：渗透测试、WAF绕过、代码审计、安全运维。

    1.3K30

    说说Windows安全应急响应

    在护网期间，客户遇到入侵事件，或许谈不上入侵，只是流量探测一下，客户第一反应就是拔网线、关闭端口、IP加入黑名单等常规操作。说实话这只能解决一时，解决不了一世。...一般管理员建立临时账号是不会建立隐藏账号的，所以一旦查出来有隐藏账号，那么就顺藤摸瓜查一下这个账户的操作日志(日志完好的情况下，这里重点提示了不仅主机要开启日志记录的功能，还要有日志审计服务器)。...再结合日志分析出攻击者前期做了密码破解的攻击，我这个是2003的服务器，无法统计登陆失败的事件的次数。如果是这样的话我们需要与客户沟通在不影响业务的前提下封掉3389端口、修改口令强度。...我们可以根据事件ID进行来筛选我们需要的事件： 我们输入事件ID：4625进行日志筛选，发现事件ID：4625，事件数175904，即用户登录失败了175904次，那么这台服务器管理员账号可能遭遇了暴力猜解...登录失败的所有事件： LogParser.exe -i:EVT –o:DATAGRID "SELECT * FROM c:\Security.evtx where EventID=4625" 提取登录失败用户名进行聚合统计

    3.6K20

    Windows应急响应Day1：FTP暴力破解

    查看Windows安全日志，发现了大量的登录失败记录： 安全日志分析： 运行:eventvwr.msc打开时间查看器，点击Windows日志，选择安全。...安全日志记录着事件审计信息，包括用户验证（登录，远程访问等）和特定用户认证后对系统做了什么。...打开安全日志，在右边点击筛选当前日志，在事件ID填入4625，查询到事件ID4625，事件数17707，从这个数据可以得知，服务器正在遭受暴力破解。...端口映射 2.删除本地服务器FTP测试 处理措施 ​FTP暴力破解依然十分普遍，如何保护服务器不受暴力破解攻击，总结了几种措施： 1.禁止使用FTP传输文件，若必须开放应限定管理IP地址并加强口令安全审计

    1.4K30

    安全蓝队 : windows日志检索和分析

    失败审核 失败的审核安全登录尝试，例如用户试图访问网络驱动器失败，则该尝试会被作为失败审核事件记录下来。...i=j 事件ID 说明 1102 清理审计日志 4624 账号成功登录 4625 账号登录失败 4720 创建用户 4726 删除用户...下面配合一个案例查看日志： 在攻击机器上爆破目标靶机的RDP，在靶机上查看日志信息 开始-运行，输入 eventvwr.msc 在事件查看器中，Windows日志 --> 安全，查看系统日志； 在系统日志右侧操作中...输入事件 ID：4625 进行日志筛选，发现事件 ID：4625，事件数 229，即用户登录失败了 229 次，那么这台服务器管理员账号可能遭遇了暴力猜解。...LogParser.exe -i:EVT o:DATAGRID "SELECT * FROM c:\Security.evtx where EventID=4625" 提取登录失败用户名进行聚合统计

    4K21

    Windows 11蓝队环境生产级配置实战指南

    ：24个记忆密码最长密码期限：60天最短密码期限：1天最小密码长度：14字符密码必须符合复杂性要求：启用启用审计策略配置以下高级审计策略：账户登录事件：成功/失败登录事件：成功/失败对象访问：失败策略变更...：成功/失败权限使用：失败进程跟踪：成功/失败系统事件：成功/失败5....监控与威胁检测配置Windows事件转发(WEF)在收集器计算机运行：wecutil qc在源计算机配置订阅：wecutil cs configuration.xml部署Sysmon增强日志安装并配置Sysmon...合规与安全审计审计日志审查定期检查可疑活动，使用Splunk生成合规报告：index=wineventlog EventCode=4625 | stats count by Account_Name定期安全评估使用...Nessus等工具执行漏洞扫描，通过内部审计确保策略合规总结本项目在Windows 11上建立了强大的蓝队防御环境，提供完整的主动防御、威胁检测和事件响应工具链。

    43810

    什么是日志审计功能？三招教你实现日志审计功能，最新整理快码住

    双击“审核对象访问”，勾选“成功”和“失败”，记录所有文件操作。设置日志存储：按下Win+S搜索“事件查看器”，右键“安全日志”→属性。...创建自定义视图：在事件查看器中右键“安全日志”→创建自定义视图。筛选条件输入事件ID“4625”（登录失败）或关键词“审核失败”，保存为“异常登录监控”。...效果：可实时查看登录失败记录，快速定位暴力破解行为。方法二：部署专业审计软件深度监控（企业级方案）推荐工具：域智盾软件等专业工具。1....操作流程：开通日志服务：在云控制台搜索“日志审计”，创建项目并配置日志源（如ECS服务器、SLB负载均衡）。设置采集规则：选择采集协议（Syslog/HTTP），定义日志字段（时间、IP、操作类型）。...分析告警：在“审计查询”页面输入关键词（如“delete”），快速定位删除操作。创建仪表盘可视化展示登录次数、异常事件趋势。

    40510

    你的电脑有人动过吗？Windows 和 Linux 系统登录记录查询指南

    在 Windows 系统中，所有的登录行为（包括成功和失败的登录尝试）都会被记录在事件日志中，用户可以通过 事件查看器 来查看这些记录。以下是具体的操作步骤： 1....在弹出的窗口中，输入 4624，点击 确定。...查找失败的登录记录 失败的登录尝试通常是攻击者在进行暴力破解或者密码猜测行为。查看这些失败的登录记录非常重要。步骤如下： 在事件查看器中，打开 安全 日志，再次点击 筛选当前日志...。...输入 4625 作为事件 ID，点击 确定。 查看失败的登录记录时，注意查看 源网络地址，它可以帮助你定位来自哪里进行的攻击。...在 Linux 系统中，登录记录同样非常重要。通过查看日志文件，你可以了解谁在什么时候登录过你的系统。Linux 系统的登录记录通常存储在 /var/log 目录下，使用一些简单的命令就能快速查询。

    1.2K10

    Windows主机日志分析办法与思路

    2、采集日志样本 先补充几个前提条件： ①Windows 服务器系统的审核功能必须是启用的，并且配置好审计策略的，一旦系统出现故障、安全事故才可以查看得到系统的日志文件，有助于排除故障，追查入侵者的信息等...安全日志：记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。这个日志一般是安全工程师重点关注对象。...4624— 成功登录 4625 —失败的登录 4634/4647 — 成功注销 4648— 使用显式(explicit)凭证登录(RunAs) 4672 — 用户使用超级用户权限的登录 (Administrator...攻击者通过暴力破解的方式入侵系统，不论是否成功，在日志中会留下入侵痕迹，所以事件id为4624和4625的事件是首当其冲的关注点。需要留意日志中的SubjectUserNameIpAddress。...发现连续三条日志，由登录失败到成功，WorkstationName均来自名为kali的主机，并且最终记录下kali的IP地址为192.168.74.129。

    1.8K40

    02Windows日志分析

    用户权限失败 安全性日志 通过日志审核功能，可以快速检测黑客的渗透和攻击，防止非法用户的再次入侵 主要通过以下事件策略审核： 对策略的审核 对登陆成功或失败的审核 对访问对象的审核 对进程跟踪的审核...(img-pOdz5uIo-1642739079996)(images/image-20220118111644755.png)] [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(...（Failure audit） 失败的审核安全登陆尝试，例如用户试图访问网络驱动器失败，则该尝试会被作为“失败审核”事件记录下来 常用事件ID 事件ID 说明 1102 清理审计日志 4624 账号登录成功...4625 账号登录失败 4768 Kerberos身份验证（TGT请求） 4769 Kerberos服务票证请求 4776 NTLM身份验证 4672 授予特殊权限 4720 创建用户 4726 删除用户...将成员从安全的全局组中移除 4732 将成员添加到启用安全的本地组中 4733 将成员从启用安全的本地组中移除 4756 将成员添加到启用安全的通用组中 4757 将成员从启用安全的通用组中移除 4719 系统审计策略修改

    2.2K20

    Windows安全日志7关键事件ID分析

    背景 Windows日志里的事件分析有助于在系统出现异常时分析出异常原因，利于针对问题做出系统的修复和预防。...3、事件ID 4625 作用：和4624相反，这是登录失败的事件。...辅助安全审计 用于安全审计，帮助管理员了解系统当前的安全状况，及时发现和修复安全问题，从而保障系统的安全性和稳定性。...具体含义： 1.服务启动失败如果某个服务在启动时失败，windows日志ID7045会记录下来。了解服务启动失败的原因，从而采取相应的措施进行修复。...2.服务启动缓慢如果某个服务在启动时缓慢，windows日志ID7045也会记录下来。了解服务启动缓慢的原因，从而采取相应的措施进行优化。

    2.9K10

    Windows日志分析工具_Windows7激活工具

    安全日志：%SystemRoot%\System32\Winevt\Logs\Security.evtx 记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、...默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。...事件查看器 或者win + R:eventvwr.msc 2.EVENT ID含义 对于Windows事件日志分析，不同的EVENT ID代表了不同的意义，常见如下 4624 登录成功 4625...登录失败 4634 注销成功 4647 用户启动的注销 4672 使用超级用户登录（管理员）进行登录 4720 创建用户 4776 成功/失败的账户认证 https://blog.csdn.net/weixin

    1.8K10
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券