Hallo an alle,
aktuell haben wir bei einem unserer Kunden das Problem, dass zwei PCs (Windows XP Sp3, aktuelle Updates) täglich um die Mittagszeit ca. 1 Minute lang auf verschiedenen Servern mit verschiedenen lokalen Benutzerkonten Anmeldeversuche unternehmen (hunderte in dieser Minute). Das ganze geht auf mindestens vier verschiedenen Servern so, die PCs sind Mitglied der Domäne, die Server ebenfalls. Die Ports sind in jedem Eintrag unterschiedlich, bewegen sich aber in dem Bereich wie im Beispiel.
Virenscans zu diesem Zeitpunkt können wir ausschließen, auch gehen von den Benutzern keine besonderen Aktivitäten aus. Die Benutzer arbeiten hauptsächlich auf einem Terminalserver. Von den vier betroffenen Servern sind zwei Terminalserver.
Für Hinweise zu dieser Problematik wäre ich sehr dankbar.
Mit freundlichem Gruß,
J. Esders
Auszug aus dem Eventlog:
Sicherheits-ID: NULL
SID
Kontoname: -
Kontodomäne: -
Anmelde-ID: 0x0
Sicherheits-ID: NULL
SID
Kontoname: Administrator
Kontodomäne: DOMAINNAME
Fehlerursache: Unbekannter Benutzername oder
ungültiges
Kennwort.
Status: 0xc000006d
Unterstatus:: 0xc000006a
Aufrufprozess-ID: 0x0
Aufrufprozessname: -
Arbeitsstationsname: CLIENT-NAME
Quellnetzwerkadresse: CLIENT-IP
Quellport: 2848
Anmeldeprozess: NtLmSsp
Authentifizierungspaket: NTLM
Übertragene Dienste: -
Paketname (nur
NTLM): -
Schlüssellänge: 0
auf dem Computer generiert, auf den zugegriffen wurde.
die Anmeldung angefordert wurde. Dies ist meistens ein Dienst wie der
Serverdienst oder ein lokaler Prozess wie "Winlogon.exe" oder
"Services.exe".
sind 2 (interaktiv) und 3 (Netzwerk).
für die die Anmeldung angefordert wurde.
Arbeitsstationsname ist nicht immer verfügbar und kann in manchen Fällen leer
bleiben.
Informationen zu dieser speziellen Anmeldeanforderung.
- Die übertragenen
Dienste geben an, welche Zwischendienste an der Anmeldeanforderung beteiligt
waren.
- Der Paketname gibt das in den NTLM-Protokollen verwendete
Unterprotokoll an.
- Die Schlüssellänge gibt die Länge des generierten
Sitzungsschlüssels an. Wenn kein Sitzungsschlüssel angefordert wurde, ist dieser
Wert 0.