Вопрос: Событие 4625 Ошибка проверки NULL SID не удалось подключить к сети


В трех отдельных системах на сервере контроллера домена регистрируется много раз (от 30 до 4000 раз в день в зависимости от системы):

An account failed to log on.

Subject:
    Security ID:        SYSTEM
    Account Name:       %domainControllerHostname%$
    Account Domain:     %NetBIOSDomainName%
    Logon ID:       0x3E7

Logon Type:         3

Account For Which Logon Failed:
    Security ID:        NULL SID
    Account Name:       
    Account Domain:     

Failure Information:
    Failure Reason:     Unknown user name or bad password.
    Status:         0xc000006d
    Sub Status:     0xc0000064

Process Information:
    Caller Process ID:  0x1ec
    Caller Process Name:    C:\Windows\System32\lsass.exe

Network Information:
    Workstation Name:   %domainControllerHostname%
    Source Network Address: -
    Source Port:        -

Detailed Authentication Information:
    Logon Process:      Schannel
    Authentication Package: Kerberos
    Transited Services: -
    Package Name (NTLM only):   -
    Key Length:     0

This event is generated when a logon request fails. It is generated on the computer where access was attempted.

The Subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.

The Logon Type field indicates the kind of logon that was requested. The most common types are 2 (interactive) and 3 (network).

The Process Information fields indicate which account and process on the system requested the logon.

The Network Information fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.

The authentication information fields provide detailed information about this specific logon request.
    - Transited services indicate which intermediate services have participated in this logon request.
    - Package name indicates which sub-protocol was used among the NTLM protocols.
    - Key length indicates the length of the generated session key. This will be 0 if no session key was requested.

Это событие несколько отличается от всех других, которые я нашел во время исследования, но я определил следующее:

  1. Event ID: 4625, «Не удалось войти в аккаунт»,
  2. Logon Type: 3, «Сеть (т. Е. Подключение к общей папке на этом компьютере из другого места в сети)»,
  3. Security ID: NULL SID, «Действительная учетная запись не была идентифицирована»,
  4. Sub Status: 0xC0000064, "Имя пользователя не существует",
  5. Caller Process Name: C:\Windows\System32\lsass.exe, Служба подсистемы локальной безопасности (LSASS) - это процесс в операционных системах Microsoft Windows, который отвечает за соблюдение политики безопасности в системе. Он проверяет, как пользователи подключаются к компьютеру или серверу Windows, обрабатывают изменения пароля и создают токены доступа. Он также записывает в журнал безопасности Windows.
  6. Workstation Name: SERVERNAME, Запрос аутентификации отправляется самим или через контроллер домена.

Похожее сходство систем:

  1. Серверная операционная система: Windows Small Business Server 2011 или Windows Server 2012 R2 Essentials
  2. Настольная операционная система: Windows 7 Professional (обычно)

Различия в уязвимых системах:

  1. антивирус
  2. Интегрированная фильтрация через Интернет Active Directory
  3. Настольные кэшированные входы в систему
  4. Роли (обмен, резервное копирование и т. Д.)

Некоторые интересные вещи, которые я заметил в самой сильно затронутой системе:

  1. Недавно мы начали синхронизировать пароли учетных записей пользователей Active Directory и Office 365 с помощью интеграции Windows Server 2012 R2 Essentials Office 365. Для интеграции требуется пароль администратора Office 365 и эскалация политики безопасности. Для синхронизации требуется, чтобы каждая учетная запись пользователя была назначена соответствующей учетной записи Microsoft, которая требует, чтобы пароль учетной записи был изменен при следующем входе в систему. Мы также добавили свой основной почтовый домен в качестве суффикса UPN в доменах Active Directory и доверенных точках и изменили UPN всех учетных записей пользователей на свой домен электронной почты. Фактически это позволило им войти в домен и Office 365 с использованием их адреса электронной почты и пароля. Однако, поскольку при этом количество событий, зарегистрированных в день, увеличилось с ~ 900 до ~ 3900. Примечание. Ни одна из учетных записей пользователей с правами администратора или на основе работы (резервное копирование, сканирование и т. Д.) Не была изменена, и у пользователей нет проблем с доступом к каким-либо частям системы.
  2. Основная часть событий, как правило, регистрируется с регулярными интервалами обычно каждые 30 или 60 минут, за исключением ~ 09:00, когда пользователи приходят на работу: 2015/07/02 18:55
    2015/07/02 19:25
    2015/07/02 19:54
    2015/07/02 20:25
    2015/07/02 20:54
    2015/07/02 21:25
    2015/07/02 22:24
    2015/07/02 23:25
    2015/07/03 00:25
    2015/07/03 01:24
    2015/07/03 01:55
    2015/07/03 02:24
    2015/07/03 02:55
    2015/07/03 03:55
    2015/07/03 04:55
    2015/07/03 05:54
    2015/07/03 06:25
    2015/07/03 07:25
    2015/07/03 08:24
    2015/07/03 08:27
    2015/07/03 08:49
    2015/07/03 08:52
    2015/07/03 08:54
    2015/07/03 08:56
    2015/07/03 08:57
    2015/07/03 09:00
    2015/07/03 09:01
    2015/07/03 09:03
    2015/07/03 09:06
    2015/07/03 09:08
    2015/07/03 09:10
    2015/07/03 09:12
    2015/07/03 09:13
    2015/07/03 09:17
    2015/07/03 09:13
    2015/07/03 09:25
    2015/07/03 10:24
    2015/07/03 11:25
  3. Следующее событие регистрируется на сервере служб терминалов / удаленных рабочих столов, хотя и не так много раз:

    An account failed to log on.
    
    Subject:
        Security ID:        NULL SID
        Account Name:       -
        Account Domain:     -
        Logon ID:       0x0
    
    Logon Type:         3
    
    Account For Which Logon Failed:
        Security ID:        NULL SID
        Account Name:       %terminalServerHostname%
        Account Domain:     %NetBIOSDomainName%
    
    Failure Information:
        Failure Reason:     Unknown user name or bad password.
        Status:         0xC000006D
        Sub Status:     0xC0000064
    
    Process Information:
        Caller Process ID:  0x0
        Caller Process Name:    -
    
    Network Information:
        Workstation Name:   %terminalServerHostname%
        Source Network Address: %terminalServerIPv6Address%
        Source Port:        %randomHighNumber%
    
    Detailed Authentication Information:
        Logon Process:      NtLmSsp 
        Authentication Package: NTLM
        Transited Services: -
        Package Name (NTLM only):   -
        Key Length:     0
    
    This event is generated when a logon request fails. It is generated on the computer where access was attempted.
    
    The Subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.
    
    The Logon Type field indicates the kind of logon that was requested. The most common types are 2 (interactive) and 3 (network).
    
    The Process Information fields indicate which account and process on the system requested the logon.
    
    The Network Information fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.
    
    The authentication information fields provide detailed information about this specific logon request.
        - Transited services indicate which intermediate services have participated in this logon request.
        - Package name indicates which sub-protocol was used among the NTLM protocols.
        - Key length indicates the length of the generated session key. This will be 0 if no session key was requested.
    

Итак, в целом, это определенно связано с доступом к сети с настольных компьютеров с использованием пользовательских учетных записей пользователей, но я не вижу, как это сделать.

Обновление 2015/08/25 08:48:

В самой сильно затронутой системе я сделал следующее, чтобы изолировать проблему, и после каждого возврата изменения:

  1. Завершите работу сервера служб терминалов / удаленных рабочих столов и общих неудачных входов в систему сделал Продолжать.
  2. Отключил сервер контроллера домена от сети и общий сбой входа в систему сделал Продолжать.
  3. Перезагрузите сервер в безопасный режим без подключения к сети и общих неудачных входов в систему не Продолжать.
  4. Остановили и отключили все «ненужные» службы (агент мониторинга, резервное копирование, интеграция сетевой фильтрации, TeamViewer, антивирус и т. Д.) И общие неудачные входы в систему сделал Продолжать.
  5. Остановлена ​​и отключена служба Windows Server Essentials (WseComputerBackupSvc, WseEmailSvc, WseHealthSvc, WseMediaSvc, WseMgmtSvc, а также WseNtfSvc) и общие неудачные входы в систему не Продолжать.
  6. В конце концов, остановлена ​​и отключена служба управления базой данных Windows Server (WseMgmtSvc) и общие неудачные входы в систему не Продолжать.

Я дважды проверил, что служба управления основными ресурсами Windows Server (WseMgmtSvc) отвечает за эти родовые неудачные входы в систему, отключив его в течение нескольких дней, и не было никаких неудачных входов в систему и разрешено в течение нескольких дней, а также были обнаружены тысячи неудачных входов в систему.

Обновление 2015/10/08 09:06:

В 2015/10/07 в 16:42 я нашел следующую запланированную задачу:

  • Имя: «Оценки оповещений»
  • Местоположение: "\ Microsoft \ Windows \ Windows Server Essentials"
  • Автор: "Microsoft Corporation"
  • Описание: «Эта задача периодически оценивает работоспособность компьютера».
  • Учетная запись: «СИСТЕМА»
  • Триггеры: «В 08:54 28/10/2014 - после срабатывания повторяйте каждые 30 минут бесконечно»
  • Действия: «Запустить программу: C: \ Windows \ System32 \ Essentials \ RunTask.exe /asm:"C:\Windows\Microsoft.Net #assembly\GAC_MSIL\AlertFramework\v4.0_6.3.0.0__31bf3856ad364e35\AlertFramework.dll" /class:Microsoft.WindowsServerSolutions.NetworkHealth.AlertFramework.HealthScheduledTask / method: EvaluateAlertsTaskAction / task: "Alert Evaluations" "

Этот таймфрейм почти точно соответствует приведенному выше поведению, поэтому я отключил его, чтобы увидеть, влияет ли это на проблему.

К 2015/10/08 в 08:57 я обнаружил, что только 47 из этих родовых неудачных логинов регистрировались с нерегулярными интервалами.

Итак, я сузил его еще больше.


7
2018-04-29 09:57


Источник


Какой метод вы использовали для настройки ваших машин win7? - strange walker
@strange walker Вероятно, что в каждой из трех затронутых сред партия исходных ПК была настроена следующим образом: был настроен один ПК (драйверы, программное обеспечение и т. д.), был создан образ ПК, остальные ПК были с помощью сконфигурированного изображения, а затем каждый ПК был переименован и добавлен в домен через мастер коннектора. - mythofechelon
Честно говоря, я просто проигнорировал бы эти события. Windows создает множество событий безопасности, и это конкретное событие, безусловно, не является вредным. - Lucky Luke
@Lucky Luke К сожалению, наша система мониторинга не может отличать неудачные события входа в систему, поэтому мы не можем увеличить порог проверки, если мы пропустим актуальную проблему. - mythofechelon
@Lucky Luke Мы рассматриваем это, но это время, и это, к сожалению, не устраняет первопричину, поэтому мне все еще нужен ответ на этот вопрос. - mythofechelon


Ответы:


Это событие обычно вызвано устаревшими скрытыми учетными данными. Попробуйте это из системы, дающей ошибку:

В командной строке выполните: psexec -i -s -d cmd.exe
Из нового запуска окна cmd: rundll32 keymgr.dll,KRShowKeyMgr

Удалите все элементы, которые отображаются в списке сохраненных имен пользователей и паролей. Перезагрузите компьютер.


3
2017-10-07 20:31



Нет записей. Кроме того, разве это не так, как Credential Manager? - mythofechelon


Похоже, что проблема была вызвана запланированной задачей «Оценки оповещений».


0
2017-08-23 09:13



Что вы имеете в виду, это было вызвано этим? Что делает эта задача? Что случилось с ошибкой? - Ashley Steel
Хорошо, если вы прочитаете мою диагностику, вы увидите, что таймфреймы, соответствующие и отключенные, разрешили проблему. - mythofechelon
Нет, это не решило проблему - это спрятало проблему. - NickG