У нас есть два сервера Windows 2008 R2 SP1, работающих в отказоустойчивом кластере SQL. По одному из них мы получаем следующие события в журнале безопасности каждые 30 секунд. Пустые части на самом деле пусты. Кто-нибудь видел подобные проблемы или помогал отследить причину этих событий? Никакие другие журналы событий не содержат ничего значимого, что я могу сказать.
Log Name: Security
Source: Microsoft-Windows-Security-Auditing
Date: 10/17/2012 10:02:04 PM
Event ID: 4625
Task Category: Logon
Level: Information
Keywords: Audit Failure
User: N/A
Computer: SERVERNAME.domainname.local
Description:
An account failed to log on.
Subject:
Security ID: SYSTEM
Account Name: SERVERNAME$
Account Domain: DOMAINNAME
Logon ID: 0x3e7
Logon Type: 3
Account For Which Logon Failed:
Security ID: NULL SID
Account Name:
Account Domain:
Failure Information:
Failure Reason: Unknown user name or bad password.
Status: 0xc000006d
Sub Status: 0xc0000064
Process Information:
Caller Process ID: 0x238
Caller Process Name: C:\Windows\System32\lsass.exe
Network Information:
Workstation Name: SERVERNAME
Source Network Address: -
Source Port: -
Detailed Authentication Information:
Logon Process: Schannel
Authentication Package: Kerberos
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
Второе событие, которое следует за каждым из вышеперечисленных событий
Log Name: Security
Source: Microsoft-Windows-Security-Auditing
Date: 10/17/2012 10:02:04 PM
Event ID: 4625
Task Category: Logon
Level: Information
Keywords: Audit Failure
User: N/A
Computer: SERVERNAME.domainname.local
Description:
An account failed to log on.
Subject:
Security ID: NULL SID
Account Name: -
Account Domain: -
Logon ID: 0x0
Logon Type: 3
Account For Which Logon Failed:
Security ID: NULL SID
Account Name:
Account Domain:
Failure Information:
Failure Reason: An Error occured during Logon.
Status: 0xc000006d
Sub Status: 0x80090325
Process Information:
Caller Process ID: 0x0
Caller Process Name: -
Network Information:
Workstation Name: -
Source Network Address: -
Source Port: -
Detailed Authentication Information:
Logon Process: Schannel
Authentication Package: Microsoft Unified Security Protocol Provider
Transited Services: -
Package Name (NTLM only): -
Key Length: 0
ИЗМЕНИТЬ ОБНОВЛЕНИЕ: Мне нужно добавить еще немного информации. Я установил сетевой монитор на этот компьютер, выполнил фильтр для трафика Kerberos и обнаружил следующее, которое соответствует отметкам времени в журнале аудита безопасности.
Kerberos AS_Request Cname: CN = SQLInstanceName Realm: domain.local Sname krbtgt / domain.local
Ответ от DC: KRB_ERROR: KDC_ERR_C_PRINCIPAL_UNKOWN
Затем я проверил журналы аудита безопасности контроллера домена, который ответил, и обнаружил следующее:
A Kerberos authentication ticket (TGT) was requested.
Account Information:
Account Name: X509N:<S>CN=SQLInstanceName
Supplied Realm Name: domain.local
User ID: NULL SID
Service Information:
Service Name: krbtgt/domain.local
Service ID: NULL SID
Network Information:
Client Address: ::ffff:10.240.42.101
Client Port: 58207
Additional Information:
Ticket Options: 0x40810010
Result Code: 0x6
Ticket Encryption Type: 0xffffffff
Pre-Authentication Type: -
Certificate Information:
Certificate Issuer Name:
Certificate Serial Number:
Certificate Thumbprint:
Похоже, что это связано с сертификатом, установленным на машине SQL, до сих пор не знаю, почему или что не так с указанным сертификатом. Срок действия не истек и т. Д.
Я использовал Microsoft Network Monitor, чтобы найти трафик, вызывающий это, и обнаружил трафик между этим SQL-сервером и нашим сервером AD2. Сервер SQL отправлял Kerberos AS_REQ для учетной записи компьютера с именем экземпляра SQL. Сервер AD ответит KDC_ERR_C_PRINCIPAL_UNKNOWN. Я просмотрел журналы безопасности на сервере AD2 и обнаружил следующие проверки отказов:
A Kerberos authentication ticket (TGT) was requested.
Account Information:
Account Name: X509N:<S>CN=SQLInstanceName
Supplied Realm Name: domain.local
User ID: NULL SID
Service Information:
Service Name: krbtgt/domain.local
Service ID: NULL SID
Кажется, это запрос на сертификат. Затем я использовал SysInternals Process Monitor и обнаружил трафик от настраиваемой службы с такими же отметками времени. Он опрашивал все хранилища сертификатов и ничего не находил.
Отключение этой службы остановит события безопасности.