Über wo will der rein?

Re(5): Über wo will der rein?

Srv-02 — Thu, 12 Jan 2017 22:53:35 GMT

You're welcome.

Re(4): Über wo will der rein?

zeddicus — Thu, 12 Jan 2017 21:08:19 GMT

Vielen Dank, das könnts gewesen sein. hab jetzt die authentication mal abgedreht

Re(3): Über wo will der rein?

Srv-02 — Thu, 12 Jan 2017 18:21:27 GMT

Das ist zu 100% der IIS bei dem du NTLM (Integrierte Authentifizierung) auf einer Instanz erlaubst. Du wirst bestimmt unter dem selben Timestamp einen Zugriff in den IIS Logs finden.

Default unter: C:\inetpub\LogFiles\logs\W3SVCx\*.log

Re(2): Über wo will der rein?

zeddicus — Thu, 12 Jan 2017 17:55:45 GMT

Hm, muss ich mal schaun ob ich beim IIS was mit Authentifizierung laufen hab. (Ist mein webserver).

ich schau nachher mal rauf wo ich überall raushorch, bin grad mobil unterwegs

Re: Über wo will der rein?

Srv-02 — Thu, 12 Jan 2017 16:37:28 GMT

Das kann jeder Port sein auf dem du einen Listener hast, meistens Web Server mit Integrierter Authentifizierung oder direkt 1423.

Poste mal was du bei netstat rausbekommst (als Administrator), gern auch per PM.

Re: Über wo will der rein?

mko — Thu, 12 Jan 2017 08:47:41 GMT

https://www.abuseipdb.com/check/23.27.127.246

Re: Über wo will der rein?

tridh — Thu, 12 Jan 2017 08:02:10 GMT

Mir fällt momentan nur Wireshark oder mit Tracen ein.
Ob man das Audit Log dafür höher drehen kann, weiß ich grad nicht.

Über wo will der rein?

zeddicus — Thu, 12 Jan 2017 07:57:59 GMT

Bei mir versucht offensichtlich wer, sich einzuloggen:

Die Frage ist: Über wo probiert er das? RDP Port ist nur fürs VPN freigegeben. Seh ich irgendwo genauer wo der rein wollte?

Über wo will der rein?

zeddicus — Thu, 12 Jan 2017 07:57:59 GMT

Bei mir versucht offensichtlich wer, sich einzuloggen:

Die Frage ist: Über wo probiert er das? RDP Port ist nur fürs VPN freigegeben. Seh ich irgendwo genauer wo der rein wollte? Ich seh ja nur den Source Port, der Destination Port wär wesentlich interessanter