日志审计系统查看到的日志，是什么情况，如何防范？

Question

查看日志审计系统，发现一台服务器的日志中，有大量“用户登录失败，评估密码出错”的日志，这是什么情况，有人在尝试远程登录服务器吗，就是解释一下这种日志产生的原因？我有在防火墙禁止这些ip段，但好多根本禁不完，禁了又有新的ip。还有没有别的方法？服务器系统是windows server 2012 R2 standard。
本人网工初学者，希望能有通俗的解答。

补充一下，具体日志内容是：{LogFile=Application, Type=审核失败, TimeGenerated=20231130143226.000000+480, Category=4, Message=用户 'sa' 登录失败。 原因: 评估密码时出错。 [客户端: 221.203.220.242]
, Computer=WIN-217FL6HA5Q9, Event=18456, CategoryString=登录, RecordNumber=84730836, Source=MSSQLSERVER}，用户名都是“sa”，我查了下，说是数据库受攻击，这怎么解决？
然后有回答说的设定登录失败次数，账户锁定，我看了下服务器配置，这个原来就已经配置了。

Answer 1

引自强大而免费的微信小程序：皆我百晓生。

问题描述：
通过日志审计系统查看到某台服务器的日志中，出现了大量的“用户登录失败，评估密码出错”的日志。想了解这是什么情况，是否有人在尝试远程登录该服务器。

情况分析：
根据提供的日志信息，可以看到以下关键点：

• 日志级别：登录失败
• 错误信息：评估密码时出错
• 客户端IP：141.98.9.46

根据这些信息，我们可以推测可能的情况是有人在尝试远程登录服务器，并采用不正确的密码进行认证。这种情况可能涉及到网络安全威胁，需要采取相应的防范措施。

防范措施：
针对远程登录尝试导致的登录失败问题，可以采取以下措施进行防范：

1. 强化密码策略：设置强密码要求，包括密码长度、复杂性、定期更换等，有效提升密码的安全性。
2. 使用多因素身份验证：在远程登录时，除了密码认证外，可以考虑使用其他身份验证方式，如短信验证码、硬件令牌等，增加登录的安全性。
3. 限制登录尝试次数：可以配置登录锁定策略，限制登录失败的尝试次数，防止暴力破解密码。
4. 禁用不必要的远程访问服务：关闭或限制不必要的远程访问服务，减少远程登录的攻击面。
5. 使用防火墙：配置防火墙规则，控制只允许特定IP或IP段进行远程登录。
6. 安装安全补丁和更新：及时安装操作系统和应用程序的安全补丁和更新，修复已知的漏洞，提高系统安全性。
7. 监控和日志审计：使用日志审计系统或安全信息和事件管理（SIEM）工具，对登录日志进行监控和分析，及时发现异常活动。

对于现有禁止的IP段仍有新的IP尝试登录的问题，可以考虑采取以下措施进一步加强防范：

1. 使用动态黑名单：基于自动化分析和实时威胁情报的动态黑名单技术，能够自动屏蔽恶意IP地址。
2. 使用入侵检测/防御系统：配置入侵检测/防御系统，能够实时监测并拦截恶意的登录尝试。
3. 配置网络安全设备：在网络边界或DMZ中设置防火墙、Web应用程序防护（WAF）等网络安全设备，对远程登录进行更全面的安全防护。
4. 持续加强安全培训：加强员工的安全意识和培训，提高对安全威胁的识别能力，避免受到钓鱼邮件等社会工程学攻击。

总之，通过综合采取上述防范措施，可以大大提高服务器系统的安全性，减少远程登录相关的安全威胁。