Bộ điều khiển miền gặp phải tải mạng nặng từ hầu hết các máy trong miền

Chúng tôi đang gặp phải các kết nối thường xuyên và băng thông cao từ hầu hết mọi máy trong môi trường của chúng tôi mà không có mẫu nào có thể nhận dạng được.

Chúng tôi đã chuyển ~110GB đến/từ bộ điều khiển miền chính của mình (10.223.3.35 và 10.223.3.14) trong 24 giờ qua qua cổng 445

Gần đây, chúng tôi đã thực hiện những thay đổi sau trong môi trường của mình: (tuy nhiên những thay đổi này được thực hiện khoảng 7 ngày sau khi xảy ra sự cố mạng lần đầu tiên)

Mã hóa kỹ thuật số hoặc ký dữ liệu kênh an toàn (luôn luôn) â Đã bật
Mã hóa kỹ thuật số dữ liệu kênh an toàn (khi có thể) â Đã bật
Ký điện tử dữ liệu kênh an toàn (khi có thể) â Đã bật
Tắt thay đổi mật khẩu tài khoản máy â DISABLED
Tuổi tối đa của mật khẩu tài khoản máy â 30
Yêu cầu khóa phiên mạnh (Windows 2000 trở lên) â Đã bật
Gửi mật khẩu không được mã hóa để kết nối với máy chủ SMB của bên thứ ba â ĐÃ TẮT
Cho phép dịch tên/SID ẩn danh â ĐÃ TẮT
Không cho phép liệt kê ẩn danh các tài khoản SAM â Đã bật
Không cho phép liệt kê ẩn danh các tài khoản và chia sẻ SAM â Đã bật
Hạn chế quyền truy cập ẩn danh vào Named Pipes và Shares â Đã bật
Cho phép dự phòng phiên NULL của LocalSystem â Đã tắt
Không lưu trữ giá trị băm LAN Manager trong lần thay đổi mật khẩu tiếp theo â Đã bật
Mức xác thực Trình quản lý mạng LAN - Chỉ gửi phản hồi NTLMv2\từ chối LM & NTLM
Yêu cầu ký ứng dụng khách LDAP - Ký thỏa thuận Bảo mật phiên tối thiểu cho máy khách dựa trên NTLM SSP (bao gồm cả RPC bảo mật) - Yêu cầu bảo mật phiên NTLMv2, Yêu cầu mã hóa 128 bit
Bảo mật phiên tối thiểu cho máy chủ dựa trên NTLM SSP (bao gồm RPC bảo mật) - Yêu cầu bảo mật phiên NTLMv2, Yêu cầu mã hóa 128 bit

Snort thường xuyên quay lại với loại nhật ký này: 01/07-20:01:41.953634 [] [1:3276:2] NETBIOS DCERPC IKích hoạt nỗ lực liên kết cuối nhỏ [] [Phân loại: Giải mã lệnh giao thức chung] [Mức độ ưu tiên: 3] {TCP} redactedIP:55424 -> 10.223.3.35:135

Trình xem sự kiện dường như đang ghi nhật ký một số sự kiện bảo mật tục tĩu nhưng dường như không có sự kiện nào nổi bật.Tốc độ sử dụng đĩa trong màn hình tài nguyên có thể ở mức khoảng 100MB/giây và mạng đôi khi tải lên 150mbps hoặc cao hơn mà dường như không có lý do chính đáng. Không có sự truyền dữ liệu chính có chủ ý, có thể xác định được từ bất kỳ máy nào có vấn đề.

Bất kỳ thông tin chi tiết nào mà bất kỳ ai cũng có thể cung cấp đều được đánh giá cao!

TCP 445 là SMB, tức là chia sẻ tệp Windows.

Bạn nên giám sát hoạt động SMB trên DC của mình; bạn có thể thực hiện điều đó bằng đồ họa từ MMC Quản lý Máy tính hoặc qua PowerShell bằng cách sử dụng nhiều Get-SmbXYX lệnh trong SmbShare.

Cái này có thể là một loại virus lây lan qua mạng chia sẻ; tuy nhiên, đây chỉ là một dự đoán ngẫu nhiên và nó thực sự có thể là bất cứ điều gì khác.