Windows vistan logien security-sivuun tulee jotain omituisia audit success / audit failure merkintöjä. Logeissa on myös merkintöjä, joiden mukaan windowsin palomuuri epäonnistuu ilmoittamaan estäneensä jonkin yhteyden.
Laitan tähän vastauksina pari esimerkkiä logimerkinnöistä.
Laitan tähän vastauksina pari esimerkkiä logimerkinnöistä.
Vastaukset 17
Vanhimmat
An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: ANONYMOUS LOGON
Account Name: ANONYMOUS LOGON
Account Domain: NT AUTHORITY
Logon ID: 0xab46d27
Logon GUID: {00000000-0000-0000-0000-000000000000}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name: SCH-EUR-TS-01
Source Network Address: 212.77.61.76
Source Port: 3594
Detailed Authentication Information:
Logon Process: NtLmSsp
Authentication Package: NTLM
Transited Services: -
Package Name (NTLM only): NTLM V1
Key Length: 0
An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: ANONYMOUS LOGON
Account Name: ANONYMOUS LOGON
Account Domain: NT AUTHORITY
Logon ID: 0xa769c7d
Logon GUID: {00000000-0000-0000-0000-000000000000}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name: CTX1
Source Network Address: 81.210.16.189
Source Port: 18517
Detailed Authentication Information:
Logon Process: NtLmSsp
Authentication Package: NTLM
Transited Services: -
Package Name (NTLM only): NTLM V1
Key Length: 0
An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: ANONYMOUS LOGON
Account Name: ANONYMOUS LOGON
Account Domain: NT AUTHORITY
Logon ID: 0xa01754b
Logon GUID: {00000000-0000-0000-0000-000000000000}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name: WIN-P4HHFHPV5OP
Source Network Address: 93.184.36.130
Source Port: 52444
Detailed Authentication Information:
Logon Process: NtLmSsp
Authentication Package: NTLM
Transited Services: -
Package Name (NTLM only): NTLM V1
Key Length: 128
An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: ANONYMOUS LOGON
Account Name: ANONYMOUS LOGON
Account Domain: NT AUTHORITY
Logon ID: 0x943e214
Logon GUID: {00000000-0000-0000-0000-000000000000}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name: HOD
Source Network Address: 71.74.84.95
Source Port: 3814
Detailed Authentication Information:
Logon Process: NtLmSsp
Authentication Package: NTLM
Transited Services: -
Package Name (NTLM only): NTLM V1
Key Length: 128
An account was successfully logged on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
New Logon:
Security ID: ANONYMOUS LOGON
Account Name: ANONYMOUS LOGON
Account Domain: NT AUTHORITY
Logon ID: 0x48bd3c6
Logon GUID: {00000000-0000-0000-0000-000000000000}
Process Information:
Process ID: 0x0
Process Name: -
Network Information:
Workstation Name: PC1
Source Network Address: 94.218.28.191
Source Port: 6691
Detailed Authentication Information:
Logon Process: NtLmSsp
Authentication Package: NTLM
Transited Services: -
Package Name (NTLM only): NTLM V1
Key Length: 128
Näiden jälkeen käyttöjärjestelmä / läppäri oli kaatunut ja käynnistynyt uudestaan viime yönä.
Mitään haittoja en ole löytänyt mse:llä ja malwarebytesillä.
Tietokonees sieluelämää ;)
Onko tosiaan koneen normaalia olla näin yhteydessä mm liechtensteiniin, puolaan, ranskaan, yhdysvaltoihin ja saksaan? Toiselle koneelle tulee vastaavia logimerkintöjä, mutta niissä ei ole koskaan tietoja network information kohdassa.
Unohda koko juttu. Tapahtumienvalvonnan logeista ei ota pirukaan selvää, joskaan nuo, mistä ikinä lienet kaivanutkin, eivät näytä edes tapahtumienvalvonnan ilmoituksilta.
Juu saattaa olla turhaa näistä huolestua. Piti kuitenkin kysyä enemmän tietäviltä, jos sattuukin olemaan jotain isompaa ongelmaa. Vistan event vieweristä katsoin ja kopsasin nuo tiedot.
huolestuisin sinuna. Onhan sulla palomuuri käytössä?
FUD=Fear, Uncertainty, Doubt
Pelko, Epävarmuus, Epäily.
Tässä vielä selvitys:
http://www.symantec.com/connect/forums/succesful-log-session-created-event-id-4624-every-few-seconds
Tapahtuma 4624 = ei aiheuta toimenpiteitä.
Workstation Name: SCH-EUR-TS-01
Source Network Address: 212.77.61.76
Workstation Name: CTX1
Source Network Address: 81.210.16.189
Workstation Name: WIN-P4HHFHPV5OP
Source Network Address: 93.184.36.130
Workstation Name: HOD
Source Network Address: 71.74.84.95
Workstation Name: PC1
Source Network Address: 94.218.28.191
Joka kohdassa eri workstation name ja eri source address. HALOO!!!!!
pitäisi jo tuollaisenkin tampion ymmärtää mistä on kysymys!
FUD=Fear, Uncertainty, Doubt
Pelko, Epävarmuus, Epäily.
Tapahtumatunnuskin puuttuu (mikä yllätys).
idiootti mikä idiootti. Jätän jutun jokaisen lukijanitsensä päätettäväksi.
Logon type: 3 saattaa muuten johtua spotifystä tai sen apuohjelmasta spotifywebhelperistä. Spotify ei kyllä ollut käynnissä, mutta tuo apuohjelma on silloinkin käynnissä.
Pidän asiaa ratkaistuna, eli suurella todennäköisyydellä ei ole ongelmaa, mutta tuli vielä tämä mieleen.