RD Web Access のブルートフォース対策

Remote Desktop Web Access (RD Web Access、旧 TS Web Access) は、RemoteApp とリモートデスクトップ接続のポータルを提供します。ユーザーはここから公開されたアプリやデスクトップにアクセスします。

RD Web Access を有効にすると、Windows の Security ログに失敗が繰り返し記録されることがあります。

Date and time        Event ID  Task   Keywords
4/3/2017 11:55:01    4625      Logon  Audit Failure
4/3/2017 11:54:59    4625      Logon  Audit Failure
4/3/2017 11:52:45    4625      Logon  Audit Failure
4/3/2017 11:51:17    4625      Logon  Audit Failure
4/3/2017 11:43:04    4625      Logon  Audit Failure
4/3/2017 11:43:00    4625      Logon  Audit Failure

Windows の Security ログ: 繰り返される失敗 (イベント 4625)。

RD Web Access の失敗には、次のような詳細が含まれます。

An account failed to log on.

Subject:
  Security ID:         IIS APPPOOL\RDWeb
  Account Name:        RDWeb
  Account Domain:      IIS APPPOOL
  Logon ID:            0x3091c6d6

Logon Type:            3

Account For Which Logon Failed:
  Security ID:         NULL SID
  Account Name:        Administrator
  Account Domain:

Failure Information:
  Failure Reason:      Unknown user name or bad password.
  Status:              0xc000006d
  Sub Status:          0xc0000064

Process Information:
  Caller Process ID:   0x143c
  Caller Process Name: C:\Windows\System32\inetsrv\w3wp.exe

RDWeb アプリケーションプールと IIS ワーカープロセスを示す例。

IIS ログにもログインページへの繰り返しリクエストが記録されることがあります。

Time      Client IP      Method URI                           Status
11:02:26  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:26  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:26  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:27  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:27  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:27  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200

IIS ログの抜粋: RD Web Access ログインページへの繰り返し POST リクエスト。

特に失敗イベントも発生している場合、これらのリクエストはパスワード攻撃の兆候となります。HTTP 200 応答だけでは、ログインの成功・失敗は判断できません。

RdpGuard は RD Web Access をブルートフォース攻撃から保護します。IIS と Windows のセキュリティイベントで不審なログインを検出し、設定したしきい値に達すると攻撃元 IP を自動ブロックします。

64 ビット版 Windows / Windows Server 対応。対応 Windows バージョン。

RD Web Access のブルートフォース対策

関連情報