{"id":208102,"date":"2023-09-18T14:56:09","date_gmt":"2023-09-18T14:56:09","guid":{"rendered":"https:\/\/www.ninjaone.com\/script-hub\/rileva-attacchi-brute-force-con-powershell\/"},"modified":"2024-03-04T16:44:27","modified_gmt":"2024-03-04T16:44:27","slug":"rileva-attacchi-brute-force-con-powershell","status":"publish","type":"script_hub","link":"https:\/\/www.ninjaone.com\/it\/script-hub\/rileva-attacchi-brute-force-con-powershell\/","title":{"rendered":"Rilevare e prevenire gli attacchi Brute Force con PowerShell"},"content":{"rendered":"

Sebbene le minacce informatiche siano in continua evoluzione, la maggior parte delle intrusioni si basa ancora su tecniche di base collaudate. Se indovinare le password comunemente usate o sfruttare le password utilizzate per pi\u00f9 account pu\u00f2 darti facile accesso, chi ha bisogno di bruciare uno zero-day?<\/p>\n

Gli attacchi brute force continuano ad essere una minaccia incredibilmente comune per le organizzazioni. Rilevare e bloccare gli attacchi brute force il pi\u00f9 rapidamente possibile \u00e8 fondamentale, perch\u00e9 spesso sono i primi indizi di attivit\u00e0 pi\u00f9 dannose e di tentativi di accesso pericolosi. Poich\u00e9 in presenza di attacchi brute force ogni minuto \u00e8 importante, l’impostazione di policy di blocco dell’account e di avvisi in tempo reale per i tentativi di accesso falliti \u00e8 un deterrente e una misura di allarme estremamente importanti.<\/p>\n

Invece che dire del rilevamento degli attacchi brute force<\/strong> su un’intera rete aziendale, da remoto e su larga scala?<\/p>\n

Rilevare gli attacchi brute force in un contesto di questo tipo pu\u00f2 essere una sfida, ecco perch\u00e9 abbiamo fornito il seguente script che gli amministratori possono utilizzare per automatizzare il processo, monitorando i tentativi di accesso falliti e attivando gli avvisi in base a soglie personalizzabili.<\/p>\n

Script per il rilevamento e la prevenzione degli attacchi brute force<\/h2>\n

#Requires -Version 5.1\r\n\r\n<#\r\n.SYNOPSIS\r\n    Condition for helping detect brute force login attempts.\r\n.DESCRIPTION\r\n    Condition for helping detect brute force login attempts.\r\n.EXAMPLE\r\n     -Hours 10\r\n    Number of hours back in time to look through in the event log.\r\n    Default is 1 hour.\r\n.EXAMPLE\r\n    -Attempts 100\r\n    Number of login attempts to trigger at or above this number.\r\n    Default is 8 attempts.\r\n.OUTPUTS\r\n    PSCustomObject[]\r\n.NOTES\r\n    Minimum OS Architecture Supported: Windows 10, Windows Server 2016\r\n    Release Notes:\r\n    Initial Release\r\nBy using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https:\/\/www.ninjaone.com\/terms-of-use.\r\n    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. \r\n    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. \r\n    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. \r\n    Warranty Disclaimer: The script is provided \u201cas is\u201d and \u201cas available\u201d, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. \r\n    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. \r\n    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. \r\n    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).\r\n#>\r\n\r\n[CmdletBinding()]\r\nparam (\r\n    [Parameter()]\r\n    [int]\r\n    $Hours = 1,\r\n    [Parameter()]\r\n    [int]\r\n    $Attempts = 8\r\n)\r\n\r\nbegin {\r\n    function Test-IsElevated {\r\n        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()\r\n        $p = New-Object System.Security.Principal.WindowsPrincipal($id)\r\n        $p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)\r\n    }\r\n    function Test-StringEmpty {\r\n        param([string]$Text)\r\n        # Returns true if string is empty, null, or whitespace\r\n        process { [string]::IsNullOrEmpty($Text) -or [string]::IsNullOrWhiteSpace($Text) }\r\n    }\r\n    if (-not $(Test-StringEmpty -Text $env:Hours)) {\r\n        $Hours = $env:Hours\r\n    }\r\n    if (-not $(Test-StringEmpty -Text $env:Attempts)) {\r\n        $Attempts = $env:Attempts\r\n    }\r\n}\r\nprocess {\r\n    if (-not (Test-IsElevated)) {\r\n        Write-Error -Message \"Access Denied. Please run with Administrator privileges.\"\r\n        exit 1\r\n    }\r\n\r\n    if ($(auditpol.exe \/get \/category:* | Where-Object { $_ -like \"*Logon*Success and Failure\" })) {\r\n        Write-Information \"Audit Policy for Logon is set to: Success and Failure\"\r\n    }\r\n    else {\r\n        Write-Error \"Audit Policy for Logon is NOT set to: Success and Failure\"\r\n        exit 1\r\n        # Write-Host \"Setting Logon to: Success and Failure\"\r\n        # auditpol.exe \/set \/subcategory:\"Logon\" \/success:enable \/failure:enable\r\n        # Write-Host \"Future failed login attempts will be captured.\"\r\n    }\r\n\r\n    $StartTime = (Get-Date).AddHours(0 - $Hours)\r\n    $EventId = 4625\r\n\r\n    # Get failed login attempts\r\n    try {\r\n        $Events = Get-WinEvent -FilterHashtable @{LogName = \"Security\"; ID = $EventId; StartTime = $StartTime } -ErrorAction Stop | ForEach-Object {\r\n            $Message = $_.Message -split [System.Environment]::NewLine\r\n            $Account = $($Message | Where-Object { $_ -Like \"*Account Name:*\" }) -split 's+' | Select-Object -Last 1\r\n            [int]$LogonType = $($Message | Where-Object { $_ -Like \"Logon Type:*\" }) -split 's+' | Select-Object -Last 1\r\n            $SourceNetworkAddress = $($Message | Where-Object { $_ -Like \"*Source Network Address:*\" }) -split 's+' | Select-Object -Last 1\r\n            [PSCustomObject]@{\r\n                Account              = $Account\r\n                LogonType            = $LogonType\r\n                SourceNetworkAddress = $SourceNetworkAddress\r\n            }\r\n        } | Where-Object { $_.LogonType -in @(2, 7, 10) }\r\n    }\r\n    catch {\r\n        if ($_.Exception.Message -like \"No events were found that match the specified selection criteria.\") {\r\n            Write-Host \"No failed logins found in the past $Hours hour(s).\"\r\n            exit 0\r\n        }\r\n        else {\r\n            Write-Error $_\r\n            exit 1\r\n        }\r\n    }\r\n\r\n    # Build a list of accounts \r\n    $UsersAccounts = [System.Collections.Generic.List[String]]::new()\r\n    try {\r\n        $ErrorActionPreference = \"Stop\"\r\n        Get-LocalUser | Select-Object -ExpandProperty Name | ForEach-Object { $UsersAccounts.Add($_) }\r\n        $ErrorActionPreference = \"Continue\"\r\n    }\r\n    catch {\r\n        $NetUser = net.exe user\r\n        $(\r\n            $NetUser | Select-Object -Skip 4 | Select-Object -SkipLast 2\r\n            # Join each line with a \",\"\r\n            # Replace and spaces with a \",\"\r\n            # Split everything by \",\"\r\n        ) -join ',' -replace 's+', ',' -split ',' |\r\n            # Sort and remove any duplicates\r\n            Sort-Object -Descending -Unique |\r\n            # Filter out empty strings\r\n            Where-Object { -not [string]::IsNullOrEmpty($_) -and -not [string]::IsNullOrWhiteSpace($_) } |\r\n            ForEach-Object {\r\n                $UsersAccounts.Add($_)\r\n            }\r\n    }\r\n    $Events | Select-Object -ExpandProperty Account | ForEach-Object { $UsersAccounts.Add($_) }\r\n\r\n    $Results = $UsersAccounts | Select-Object -Unique | ForEach-Object {\r\n        $Account = $_\r\n        $AccountEvents = $Events | Where-Object { $_.Account -like $Account }\r\n        $AttemptCount = $AccountEvents.Count\r\n        $SourceNetworkAddress = $AccountEvents | Select-Object -ExpandProperty SourceNetworkAddress -Unique\r\n        if ($AttemptCount -gt 0) {\r\n            [PSCustomObject]@{\r\n                Account              = $Account\r\n                Attempts             = $AttemptCount\r\n                SourceNetworkAddress = $SourceNetworkAddress\r\n            }\r\n        }\r\n    }\r\n\r\n    # Get only the accounts with fail login attempts at or over $Attempts\r\n    $BruteForceAttempts = $Results | Where-Object { $_.Attempts -ge $Attempts }\r\n    if ($BruteForceAttempts) {\r\n        $BruteForceAttempts | Out-String | Write-Host\r\n        exit 1\r\n    }\r\n    $Results | Out-String | Write-Host\r\n    exit 0\r\n}\r\nend {\r\n    $ScriptVariables = @(\r\n        [PSCustomObject]@{\r\n            name           = \"Hours\"\r\n            calculatedName = \"hours\" # Must be lowercase and no spaces\r\n            required       = $false\r\n            defaultValue   = [PSCustomObject]@{ # If not default value, then remove\r\n                type  = \"TEXT\"\r\n                value = \"1\"\r\n            }\r\n            valueType      = \"TEXT\"\r\n            valueList      = $null\r\n            description    = \"Number of hours back in time to look through in the event log.\"\r\n        }\r\n        [PSCustomObject]@{\r\n            name           = \"Attempts\"\r\n            calculatedName = \"attempts\" # Must be lowercase and no spaces\r\n            required       = $false\r\n            defaultValue   = [PSCustomObject]@{ # If not default value, then remove\r\n                type  = \"TEXT\"\r\n                value = \"8\"\r\n            }\r\n            valueType      = \"TEXT\"\r\n            valueList      = $null\r\n            description    = \"Number of login attempts to trigger at or above this number.\"\r\n        }\r\n    )\r\n}<\/pre>\n
 <\/p>\n
\n
Accedi a oltre 700 script nel Dojo di NinjaOne Ottieni l’accesso<\/a><\/p>\n<\/div><\/p>\n
Comprendere e utilizzare lo script<\/h2>\n
Il nostro script per rilevare e prevenire gli attacchi brute force si basa su due parametri principali: ‘Ore’ e ‘Tentativi’. Il parametro ‘Ore’ definisce il periodo da esaminare nel registro eventi (per impostazione predefinita \u00e8 1 ora). Il parametro ‘Tentativi’ imposta la soglia di tentativi di accesso prima di attivare un avviso (impostazione predefinita: 8 tentativi).<\/p>\n
Per installare ed eseguire lo script, procedi come segue:<\/h3>\n
    \n
  1. Accedi a PowerShell con privilegi di amministratore.<\/span><\/li>\n
  2. Copia lo script per rilevare gli attacchi brute force nell’ambiente PowerShell.<\/span><\/li>\n
  3. Personalizza i parametri ‘Ore’ e ‘Tentativi’ come desiderato.<\/span><\/li>\n
  4. Esegui lo script per rilevare gli attacchi brute force.<\/span><\/li>\n<\/ol>\n
    Lo script per rilevare gli attacchi brute force valuter\u00e0 quindi i registri eventi in base ai parametri forniti. Se il numero di tentativi di accesso falliti supera la soglia entro l’intervallo di tempo specificato, viene segnalata la possibilit\u00e0 che ci siano attacchi brute force in corso.<\/span>\u00a0<\/span><\/p>\n
    Considera un esempio in cui desideri monitorare i tentativi di accesso nelle ultime tre ore e intendi ricevere un avviso se si verificano pi\u00f9 di 15 tentativi falliti. Con NinjaOne, hai la possibilit\u00e0 di personalizzare il tuo approccio alla sicurezza eseguendo lo script per rilevare attacchi brute force con parametri personalizzati come: Ore 3, Tentativi 15. Tale funzionalit\u00e0 consente di adattarsi alle esigenze di sicurezza e ai profili di rischio unici della propria organizzazione.<\/span><\/p>\n
    Misure di sicurezza aggiuntive<\/h2>\n
    Il rilevamento degli attacchi brute force \u00e8 solo un<\/span> componente<\/span> di una strategia olistica di cybersecurity. Altre misure fondamentali sono:<\/span><\/span>\u00a0<\/span><\/p>\n
      \n
    1. Password complesse: <\/span><\/b>Incoraggia gli utenti a creare password complesse e uniche, possibilmente un mix di lettere, numeri e simboli. I gestori di password possono facilitare la<\/span> gestione di password complesse<\/span><\/a>.<\/span><\/li>\n<\/ol>\n
        \n
      1. Autenticazione a pi\u00f9 fattori (MFA): <\/span><\/b>L’MFA fornisce un ulteriore livello di sicurezza, richiedendo agli utenti di verificare la propria identit\u00e0 utilizzando due o pi\u00f9 meccanismi (ad esempio, qualcosa che conoscono, qualcosa che hanno o qualcosa che sono).<\/span><\/li>\n<\/ol>\n
          \n
        1. Aggiornamenti software: <\/span><\/b>L’aggiornamento regolare del software \u00e8 vitale. Gli aggiornamenti spesso includono<\/span> patch per le vulnerabilit\u00e0 di sicurezza<\/span><\/a> che, se non risolte, potrebbero aprire una porta agli attacchi informatici.<\/span><\/li>\n<\/ol>\n
            \n
          1. Formazione dei dipendenti<\/span><\/b>:<\/strong> Stabilire un programma di formazione sulla consapevolezza della sicurezza aiuta a educare i dipendenti sulle minacce informatiche e sul ruolo che svolgono nel mantenimento della sicurezza. Il fattore umano \u00e8 spesso l’anello pi\u00f9 debole della cybersecurity ed i dipendenti ben informati possono rafforzare notevolmente le tue difese.<\/span><\/li>\n<\/ol>\n
            Considerazioni finali<\/h2>\n
            Un efficace rilevamento di attacchi brute force \u00e8 fondamentale nell’attuale panorama digitale ed il nostro script PowerShell offre una soluzione potente e personalizzabile. Tuttavia, \u00e8 essenziale ricordare che rilevare e prevenire gli attacchi brute force \u00e8 solo un aspetto di una strategia di cybersecurity che deve essere pi\u00f9 ampia. Combinando il rilevamento in tempo reale con password complesse, MFA, aggiornamenti software e formazione dei dipendenti, \u00e8 possibile creare un protocollo di sicurezza completo per proteggere le proprie risorse digitali.<\/span>\u00a0<\/span><\/p>\n
            NinjaOne \u00e8 uno strumento completo che rafforza in modo significativo la capacit\u00e0 di rilevare e contrastare gli attacchi brute force. Avendo<\/span> controllo completo sulla sicurezza degli endpoint<\/span><\/a> \u00e8 possibile gestire le applicazioni, modificare da remoto i registri e distribuire script per migliorare la sicurezza. I controlli di accesso basati sui ruoli assicurano che i tecnici abbiano solo i livelli di accesso necessari, riducendo i potenziali punti di violazione. La piattaforma offre anche strumenti di gestione della crittografia delle unit\u00e0 e la possibilit\u00e0 di installare e gestire automaticamente la protezione degli endpoint, offrendo un controllo granulare sulle operazioni antivirus.<\/span>\u00a0<\/span><\/p>\n
            Inoltre,<\/span> la funzione di scambio di credenziali di NinjaOne salvaguarda le credenziali<\/span><\/a> ,una linea di difesa importante contro gli attacchi brute force. Al contempo, consente di identificare e rimuovere gli endpoint non autorizzati, aggiungendo un ulteriore livello di protezione. Non aspettare che si verifichi una violazione. <\/span>Inizia il tuo viaggio verso una maggiore sicurezza<\/span><\/a> oggi stesso con NinjaOne.<\/span>\u00a0<\/span><\/p>\n","protected":false},"author":35,"featured_media":206800,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"no","_lmt_disable":""},"operating_system":[4212],"use_cases":[4269],"class_list":["post-208102","script_hub","type-script_hub","status-publish","has-post-thumbnail","hentry","script_hub_category-windows"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/script_hub\/208102","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/script_hub"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/script_hub"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=208102"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/206800"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=208102"}],"wp:term":[{"taxonomy":"script_hub_category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/operating_system?post=208102"},{"taxonomy":"use_cases","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/use_cases?post=208102"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}