Gran cantidad de AUDITORÍA DE FALLAS: una cuenta no pudo iniciar sesión en registros de seguridad

8

He recibido muchas auditorías de fallas en mi servidor. Desde el registro, he identificado la máquina particular que es la culpable. ¿Cómo puedo identificar qué proceso está enviando la solicitud de inicio de sesión?

¿Tienes alguna idea de cómo averiguarlo?

A continuación se muestra el detalle del registro.

Registro de seguridad en \ QKSRVDC212:

[2465151] Microsoft-Windows-Security-Auditing

    Type:     FAILURE AUDIT 

    Computer: QKSRVDC212.Corp.abc.com

    Time:     7/26/2012 9:31:00 AM   ID:       4625 

An account failed to log on.
  Subject:
    Security ID:        S-1-0-0
    Account Name:       -
    Account Domain:     -
    Logon ID:       0x0
  Logon Type:           3

  Account For Which Logon Failed:
    Security ID:        S-1-0-0
    Account Name:       Quality
    Account Domain:     QDMNT140

  Failure Information:
    Failure Reason:     Unknown user name or bad password.
    Status:         0xc000006d
    Sub Status:     0xc0000064

  Process Information:
    Caller Process ID:  0x0
    Caller Process Name:    -

  Network Information:
    Workstation Name:   QDMNT140
    Source Network Address: 10.1.1.185
    Source Port:        3973

  Detailed Authentication Information:
    Logon Process:      NtLmSsp 
    Authentication Package: NTLM
    Transited Services: -
    Package Name (NTLM only):   -
    Key Length:     0
Param
fuente

Respuestas:

1

En el sistema de origen de inicio de sesión 'QDMNT140' use netstat -ano | findstr 3973para ver qué proceso tiene abierto el puerto de origen correspondiente '3973'. Reemplace 3973 con lo que cambie el puerto si no es estático.

Nathan V
fuente