RDP-Ausnahmen für Sicherheitsereignis 4625

• Überblick über Sicherheitsereignis 4625
• RDP-Ausnahmen konfigurieren
• Syntax und Beispiele für Ausnahmeregeln

RdpGuard verwendet das Windows-Sicherheitsereignis 4625, um fehlgeschlagene Anmeldeversuche zu erkennen. Diese Ereignisse können von Remotedesktopverbindungen, Netzwerkfreigaben, Diensten oder geplanten Aufgaben stammen. Von dieser Erkennung erfasste Versuche erscheinen als RDP in der Übersicht, auch wenn sie von einer anderen Art der Windows-Anmeldung stammen.

Verwenden Sie Ausnahmeregeln, wenn Sie berechtigte Aktivitäten anhand bestimmter Ereignisfelder erkennen können. Passende Ereignisse werden von der RDP-Erkennung übersprungen. Um eine vertrauenswürdige IP-Adresse grundsätzlich von Sperren auszunehmen, verwenden Sie die Whitelist.

Öffnen Sie unter Ereignisanzeige, Windows-Protokolle, Sicherheit ein Ereignis mit Ereignis-ID 4625:

1. Öffnen Sie RdpGuard-Dashboard und klicken Sie auf RDP unter Überwachte Protokolle.

   

2. Unter RDP-Einstellungen, klicken Sie auf Ausschlüsse....

   RDP-Schutz aktivieren muss ausgewählt sein, um Ausnahmen zu bearbeiten.

   

3. Geben Sie unter RDP-Ausnahmen eine Regel pro Zeile ein und klicken Sie auf OK.

   Das Syntax und Beispiele unten erläutern das Erstellen von Regeln.

   

4. Klicken Sie auf Speichern in RDP-Einstellungen , um die Ausschlüsse anzuwenden.

Schreiben Sie jede Regel in eine eigene Zeile. Trennen Sie Bedingungen innerhalb einer Regel durch Kommas. Ein Ereignis wird ausgeschlossen, wenn alle Bedingungen einer beliebigen Regel zutreffen.

IpAddress=192.0.2.25,TargetUserName=backup-user
IpAddress=198.51.100.20,TargetUserName=svc-*

Die erste Regel schließt Ereignisse aus für backup-user von 192.0.2.25. Die zweite schließt Ereignisse für Benutzernamen aus, die beginnen mit svc- von 198.51.100.20. Ersetzen Sie diese Beispieladressen und Benutzernamen durch Werte aus den Ereignissen, die Sie ausschließen möchten.

Vergleichsregeln

• = prüft auf Übereinstimmung mit einem Wert oder Platzhaltermuster; != trifft auf Werte zu, die nicht damit übereinstimmen.
• * steht für eine beliebige Zeichenfolge; ? steht für ein einzelnes Zeichen.
• Durch Kommas getrennte Bedingungen verwenden UND. Regeln in getrennten Zeilen verwenden ODER.
• Bei Feldnamen und Werten wird zwischen Groß- und Kleinschreibung unterschieden. Übernehmen Sie Schreibweise und Groß-/Kleinschreibung aus dem Ereignis-XML.
• Fehlt ein Feld im Ereignis, trifft eine Bedingung mit diesem Feld nicht zu, auch keine != Bedingung.
• Zeilen, die beginnen mit # , sind Kommentare.

Zum Beispiel: IpAddress=192.0.2.25,TargetUserName!=backup-user trifft auf andere Benutzernamen von dieser Adresse zu. Behalten Sie Bedingungen in derselben Zeile, wenn sie gemeinsam zutreffen müssen. Eine IP-Adresse und ein Benutzername in getrennten Zeilen ergeben zwei unabhängige Ausnahmen.

Verfügbare Felder für RDP-Ausnahmen

Öffnen Sie beim Ereignis Details und wählen Sie XML-Ansicht. Verwenden Sie die Namen und Werte innerhalb von EventData. Zum Beispiel: <Data Name="LogonType">3</Data> liefert das Feld LogonType mit dem Wert 3.

Beispiel-XML für das oben gezeigte Ereignis:

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"
      Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" />
    <EventID>4625</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime="2026-09-29T08:06:12.6465802Z" />
    <EventRecordID>27682099</EventRecordID>
    <Correlation
      ActivityID="{96b13ecf-444f-0004-fa3e-b1964f44dd01}" />
    <Execution ProcessID="764" ThreadID="140" />
    <Channel>Security</Channel>
    <Computer>SERVER01</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-0-0</Data>
    <Data Name="SubjectUserName">-</Data>
    <Data Name="SubjectDomainName">-</Data>
    <Data Name="SubjectLogonId">0x0</Data>
    <Data Name="TargetUserSid">S-1-0-0</Data>
    <Data Name="TargetUserName">Admin</Data>
    <Data Name="TargetDomainName">.</Data>
    <Data Name="Status">0xc000006d</Data>
    <Data Name="FailureReason">%%2313</Data>
    <Data Name="SubStatus">0xc0000064</Data>
    <Data Name="LogonType">3</Data>
    <Data Name="LogonProcessName">NtLmSsp</Data>
    <Data Name="AuthenticationPackageName">NTLM</Data>
    <Data Name="WorkstationName">-</Data>
    <Data Name="TransmittedServices">-</Data>
    <Data Name="LmPackageName">-</Data>
    <Data Name="KeyLength">0</Data>
    <Data Name="ProcessId">0x0</Data>
    <Data Name="ProcessName">-</Data>
    <Data Name="IpAddress">95.47.156.55</Data>
    <Data Name="IpPort">0</Data>
  </EventData>
</Event>

Nicht jedes Feld enthält in jedem Ereignis einen aussagekräftigen Wert. Verwenden Sie den tatsächlich im XML gespeicherten Wert; zum Beispiel kann FailureReason einen Code enthalten wie %%2313, anstelle der Beschreibung auf der Registerkarte Allgemein. Vollständige Felddefinitionen finden Sie in Microsofts Referenz zu Ereignis 4625.

Diese Syntax für andere Ausnahmen verwenden

Dieselbe Regelsyntax wird für Ausnahmen bei erfolgreichen Anmeldungen in Benutzerdefinierte Aktionen und bei deren Protokollierung verwendet. Die verfügbaren Felder hängen vom Ereignis und dem Einsatzort der Regel ab.

Für Benachrichtigungen über erfolgreiche Anmeldungen stellt RdpGuard Folgendes bereit: Protocol, TargetUserName und IpAddress. Windows-Anmeldeereignisse können zusätzlich ihre ursprünglichen EventData Felder bereitstellen. Zum Beispiel: Protocol=FTP,TargetUserName=backup-user schließt Benachrichtigungen über erfolgreiche FTP-Anmeldungen dieses Kontos aus.

Protokoll wird von RdpGuard hinzugefügt; es ist kein EventData Feld in Ereignis 4625 und ist nicht verfügbar in den RDP-Ausnahmen .