PowerScale: Buscar información de usuario sobre quién envía continuamente una contraseña incorrecta en el registro de auditoría
Resumen: Cómo encontrar la información del usuario que envía continuamente la contraseña incorrecta en el registro de auditoría.
Instrucciones
Es posible que algunas aplicaciones mal configuradas o ataques cibernéticos intenten acceder continuamente al clúster con la contraseña incorrecta. Esto puede hacer que la cuenta se bloquee en función de la política de seguridad del usuario. La auditoría del protocolo de OneFS puede ayudar a localizar la información del usuario de estas solicitudes.
El servicio de auditoría y las funciones de auditoría de protocolo deben estar activados en el clúster.
El usuario debe auditar la zona de acceso pertinente para monitorear y el evento de falla de inicio de sesión. Deben evitar auditar demasiados eventos, ya que eso puede afectar el rendimiento en algunos clústeres.
Habilite el servicio de auditoría:
isi services isi_audit_d enable
Active la auditoría de protocolo:
isi audit settings global modify --protocol-auditing-enabled=true
Agregue la zona de acceso pertinente para el monitoreo:
isi audit settings global modify --audited-zones=Production
Agregue el evento de falla de inicio de sesión en la zona de acceso:
isi audit settings modify --zone=Production --add-audit-failure=logon
Una vez que la auditoría se configura correctamente, cuando se produce el problema de inicio de sesión, el usuario puede utilizar "isi_audit_viewer" para buscar en el registro de auditoría.
El ntstatus Código de error en formato hexadecimal:
STATUS_WRONG_PASSWORD = 0xC000006A
En el registro de auditoría, el ntstatus El código está en formato decimal. Debe convertir el archivo 0xC000006A para 3221225578.
Ejemplo de evento de auditoría para la falla de inicio de sesión con la contraseña incorrecta:
[5: Fri Oct 24 02:15:47 2025] {"id":"354f003e-97f7-11ef-9d81-0050569b863c","timestamp":1730427347886092,"payloadType":"4b66b1eb-6e1a-416d-b80c-5a642a603a0b","payload":{"zoneID":1,"zoneName":"Production","eventType":"logon","clientIPAddr":"192.1xx.1.1x0","ntStatus":3221225578}}Información adicional
Contenido relacionado:
- Artículo de Dell sobre Isilon: ¿Cómo ver los registros de auditoría de OneFS? (Es posible que deba iniciar sesión como usuario registrado del soporte de Dell para ver este artículo).
- Artículo de Microsoft [MS-ERREF]: Valores de NTSTATUS
