Hoewel cyberbedreigingen zeker voortdurend in ontwikkeling zijn, is het een feit dat de meeste inbraken nog steeds berusten op basistechnieken die hun waarde hebben bewezen. Wie heeft er een zero-day nodig als het raden van veelgebruikte wachtwoorden of het misbruiken van wachtwoorden die worden gebruikt voor meerdere accounts u gemakkelijk toegang kan geven?
Brute force attacks blijven een ongelooflijk veel voorkomende bedreiging voor organisaties. Het zo snel mogelijk detecteren en blokkeren van deze pogingen is essentieel, omdat het vaak vroege voorbodes zijn van meer schadelijke activiteiten en kwaadaardige toegangspogingen. Omdat in deze situaties elke minuut telt, is het instellen van een beleid voor het blokkeren van accounts en realtime waarschuwingen voor mislukte inlogpogingen een uiterst belangrijke maatregel voor vroegtijdige afschrikking en waarschuwing.
Maar hoe zit het met het detecteren van brute force-aanvallen in een heel bedrijfsnetwerk, op afstand en op grote schaal?
Omdat dat een uitdaging kan zijn, hebben we het volgende script geleverd dat beheerders kunnen gebruiken om het proces te automatiseren, te controleren op mislukte aanmeldpogingen en waarschuwingen te triggeren op basis van aanpasbare drempels.
Script voor detectie en preventie van brute krachtaanvallen
#Requires -Version 5.1
<#
.SYNOPSIS
Condition for helping detect brute force login attempts.
.DESCRIPTION
Condition for helping detect brute force login attempts.
.EXAMPLE
-Hours 10
Number of hours back in time to look through in the event log.
Default is 1 hour.
.EXAMPLE
-Attempts 100
Number of login attempts to trigger at or above this number.
Default is 8 attempts.
.OUTPUTS
PSCustomObject[]
.NOTES
Minimum OS Architecture Supported: Windows 10, Windows Server 2016
Release Notes:
Initial Release
(c) 2023 NinjaOne
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/nl/gebruiksvoorwaarden
Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms.
Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party.
Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider.
Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations.
Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks.
Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script.
EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>
[CmdletBinding()]
param (
[Parameter()]
[int]
$Hours = 1,
[Parameter()]
[int]
$Attempts = 8
)
begin {
function Test-IsElevated {
$id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
$p = New-Object System.Security.Principal.WindowsPrincipal($id)
$p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
}
function Test-StringEmpty {
param([string]$Text)
# Returns true if string is empty, null, or whitespace
process { [string]::IsNullOrEmpty($Text) -or [string]::IsNullOrWhiteSpace($Text) }
}
if (-not $(Test-StringEmpty -Text $env:Hours)) {
$Hours = $env:Hours
}
if (-not $(Test-StringEmpty -Text $env:Attempts)) {
$Attempts = $env:Attempts
}
}
process {
if (-not (Test-IsElevated)) {
Write-Error -Message "Access Denied. Please run with Administrator privileges."
exit 1
}
if ($(auditpol.exe /get /category:* | Where-Object { $_ -like "*Logon*Success and Failure" })) {
Write-Information "Audit Policy for Logon is set to: Success and Failure"
}
else {
Write-Error "Audit Policy for Logon is NOT set to: Success and Failure"
exit 1
# Write-Host "Setting Logon to: Success and Failure"
# auditpol.exe /set /subcategory:"Logon" /success:enable /failure:enable
# Write-Host "Future failed login attempts will be captured."
}
$StartTime = (Get-Date).AddHours(0 - $Hours)
$EventId = 4625
# Get failed login attempts
try {
$Events = Get-WinEvent -FilterHashtable @{LogName = "Security"; ID = $EventId; StartTime = $StartTime } -ErrorAction Stop | ForEach-Object {
$Message = $_.Message -split [System.Environment]::NewLine
$Account = $($Message | Where-Object { $_ -Like "*Account Name:*" }) -split 's+' | Select-Object -Last 1
[int]$LogonType = $($Message | Where-Object { $_ -Like "Logon Type:*" }) -split 's+' | Select-Object -Last 1
$SourceNetworkAddress = $($Message | Where-Object { $_ -Like "*Source Network Address:*" }) -split 's+' | Select-Object -Last 1
[PSCustomObject]@{
Account = $Account
LogonType = $LogonType
SourceNetworkAddress = $SourceNetworkAddress
}
} | Where-Object { $_.LogonType -in @(2, 7, 10) }
}
catch {
if ($_.Exception.Message -like "No events were found that match the specified selection criteria.") {
Write-Host "No failed logins found in the past $Hours hour(s)."
exit 0
}
else {
Write-Error $_
exit 1
}
}
# Build a list of accounts
$UsersAccounts = [System.Collections.Generic.List[String]]::new()
try {
$ErrorActionPreference = "Stop"
Get-LocalUser | Select-Object -ExpandProperty Name | ForEach-Object { $UsersAccounts.Add($_) }
$ErrorActionPreference = "Continue"
}
catch {
$NetUser = net.exe user
$(
$NetUser | Select-Object -Skip 4 | Select-Object -SkipLast 2
# Join each line with a ","
# Replace and spaces with a ","
# Split everything by ","
) -join ',' -replace 's+', ',' -split ',' |
# Sort and remove any duplicates
Sort-Object -Descending -Unique |
# Filter out empty strings
Where-Object { -not [string]::IsNullOrEmpty($_) -and -not [string]::IsNullOrWhiteSpace($_) } |
ForEach-Object {
$UsersAccounts.Add($_)
}
}
$Events | Select-Object -ExpandProperty Account | ForEach-Object { $UsersAccounts.Add($_) }
$Results = $UsersAccounts | Select-Object -Unique | ForEach-Object {
$Account = $_
$AccountEvents = $Events | Where-Object { $_.Account -like $Account }
$AttemptCount = $AccountEvents.Count
$SourceNetworkAddress = $AccountEvents | Select-Object -ExpandProperty SourceNetworkAddress -Unique
if ($AttemptCount -gt 0) {
[PSCustomObject]@{
Account = $Account
Attempts = $AttemptCount
SourceNetworkAddress = $SourceNetworkAddress
}
}
}
# Get only the accounts with fail login attempts at or over $Attempts
$BruteForceAttempts = $Results | Where-Object { $_.Attempts -ge $Attempts }
if ($BruteForceAttempts) {
$BruteForceAttempts | Out-String | Write-Host
exit 1
}
$Results | Out-String | Write-Host
exit 0
}
end {
$ScriptVariables = @(
[PSCustomObject]@{
name = "Hours"
calculatedName = "hours" # Must be lowercase and no spaces
required = $false
defaultValue = [PSCustomObject]@{ # If not default value, then remove
type = "TEXT"
value = "1"
}
valueType = "TEXT"
valueList = $null
description = "Number of hours back in time to look through in the event log."
}
[PSCustomObject]@{
name = "Attempts"
calculatedName = "attempts" # Must be lowercase and no spaces
required = $false
defaultValue = [PSCustomObject]@{ # If not default value, then remove
type = "TEXT"
value = "8"
}
valueType = "TEXT"
valueList = $null
description = "Number of login attempts to trigger at or above this number."
}
)
}
|
#Requires -Version 5.1
<#
.SYNOPSIS
Condition for helping detect brute force login attempts.
.DESCRIPTION
Condition for helping detect brute force login attempts.
.EXAMPLE
-Hours 10
Number of hours back in time to look through in the event log.
Default is 1 hour.
.EXAMPLE
-Attempts 100
Number of login attempts to trigger at or above this number.
Default is 8 attempts.
.OUTPUTS
PSCustomObject[]
.NOTES
Minimum OS Architecture Supported: Windows 10, Windows Server 2016
Release Notes:
Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms.
Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party.
Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider.
Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations.
Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks.
Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script.
EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>
[CmdletBinding()]
param (
[Parameter()]
[int]
$Hours = 1,
[Parameter()]
[int]
$Attempts = 8
)
begin {
function Test-IsElevated {
$id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
$p = New-Object System.Security.Principal.WindowsPrincipal($id)
$p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
}
function Test-StringEmpty {
param([string]$Text)
# Returns true if string is empty, null, or whitespace
process { [string]::IsNullOrEmpty($Text) -or [string]::IsNullOrWhiteSpace($Text) }
}
if (-not $(Test-StringEmpty -Text $env:Hours)) {
$Hours = $env:Hours
}
if (-not $(Test-StringEmpty -Text $env:Attempts)) {
$Attempts = $env:Attempts
}
}
process {
if (-not (Test-IsElevated)) {
Write-Error -Message "Access Denied. Please run with Administrator privileges."
exit 1
}
if ($(auditpol.exe /get /category:* | Where-Object { $_ -like "*Logon*Success and Failure" })) {
Write-Information "Audit Policy for Logon is set to: Success and Failure"
}
else {
Write-Error "Audit Policy for Logon is NOT set to: Success and Failure"
exit 1
# Write-Host "Setting Logon to: Success and Failure"
# auditpol.exe /set /subcategory:"Logon" /success:enable /failure:enable
# Write-Host "Future failed login attempts will be captured."
}
$StartTime = (Get-Date).AddHours(0 - $Hours)
$EventId = 4625
# Get failed login attempts
try {
$Events = Get-WinEvent -FilterHashtable @{LogName = "Security"; ID = $EventId; StartTime = $StartTime } -ErrorAction Stop | ForEach-Object {
$Message = $_.Message -split [System.Environment]::NewLine
$Account = $($Message | Where-Object { $_ -Like "*Account Name:*" }) -split 's+' | Select-Object -Last 1
[int]$LogonType = $($Message | Where-Object { $_ -Like "Logon Type:*" }) -split 's+' | Select-Object -Last 1
$SourceNetworkAddress = $($Message | Where-Object { $_ -Like "*Source Network Address:*" }) -split 's+' | Select-Object -Last 1
[PSCustomObject]@{
Account = $Account
LogonType = $LogonType
SourceNetworkAddress = $SourceNetworkAddress
}
} | Where-Object { $_.LogonType -in @(2, 7, 10) }
}
catch {
if ($_.Exception.Message -like "No events were found that match the specified selection criteria.") {
Write-Host "No failed logins found in the past $Hours hour(s)."
exit 0
}
else {
Write-Error $_
exit 1
}
}
# Build a list of accounts
$UsersAccounts = [System.Collections.Generic.List[String]]::new()
try {
$ErrorActionPreference = "Stop"
Get-LocalUser | Select-Object -ExpandProperty Name | ForEach-Object { $UsersAccounts.Add($_) }
$ErrorActionPreference = "Continue"
}
catch {
$NetUser = net.exe user
$(
$NetUser | Select-Object -Skip 4 | Select-Object -SkipLast 2
# Join each line with a ","
# Replace and spaces with a ","
# Split everything by ","
) -join ',' -replace 's+', ',' -split ',' |
# Sort and remove any duplicates
Sort-Object -Descending -Unique |
# Filter out empty strings
Where-Object { -not [string]::IsNullOrEmpty($_) -and -not [string]::IsNullOrWhiteSpace($_) } |
ForEach-Object {
$UsersAccounts.Add($_)
}
}
$Events | Select-Object -ExpandProperty Account | ForEach-Object { $UsersAccounts.Add($_) }
$Results = $UsersAccounts | Select-Object -Unique | ForEach-Object {
$Account = $_
$AccountEvents = $Events | Where-Object { $_.Account -like $Account }
$AttemptCount = $AccountEvents.Count
$SourceNetworkAddress = $AccountEvents | Select-Object -ExpandProperty SourceNetworkAddress -Unique
if ($AttemptCount -gt 0) {
[PSCustomObject]@{
Account = $Account
Attempts = $AttemptCount
SourceNetworkAddress = $SourceNetworkAddress
}
}
}
# Get only the accounts with fail login attempts at or over $Attempts
$BruteForceAttempts = $Results | Where-Object { $_.Attempts -ge $Attempts }
if ($BruteForceAttempts) {
$BruteForceAttempts | Out-String | Write-Host
exit 1
}
$Results | Out-String | Write-Host
exit 0
}
end {
$ScriptVariables = @(
[PSCustomObject]@{
name = "Hours"
calculatedName = "hours" # Must be lowercase and no spaces
required = $false
defaultValue = [PSCustomObject]@{ # If not default value, then remove
type = "TEXT"
value = "1"
}
valueType = "TEXT"
valueList = $null
description = "Number of hours back in time to look through in the event log."
}
[PSCustomObject]@{
name = "Attempts"
calculatedName = "attempts" # Must be lowercase and no spaces
required = $false
defaultValue = [PSCustomObject]@{ # If not default value, then remove
type = "TEXT"
value = "8"
}
valueType = "TEXT"
valueList = $null
description = "Number of login attempts to trigger at or above this number."
}
)
}
Toegang tot meer dan 700 scripts in de NinjaOne Dojo
Het script begrijpen en gebruiken
Ons script is gebaseerd op twee primaire parameters: uren en Pogingen. De `-uren` parameter dicteert de periode die moet worden bekeken in het gebeurtenissenlogboek (standaard 1 uur). De parameter `-pogingen` stelt de drempel in voor aanmeldpogingen voordat een waarschuwing wordt geactiveerd (standaard ingesteld op 8 pogingen).
Volg deze stappen om het script te installeren en uit te voeren:
- Open PowerShell met beheerdersrechten.
- Kopieer het script naar uw PowerShell-omgeving.
- Pas de parameters `-uren` en `-pogingen` naar wens aan.
- Voer het script uit.
Het script zal dan de gebeurtenislogboeken evalueren op basis van de opgegeven parameters. Als het aantal mislukte aanmeldingspogingen de drempel overschrijdt binnen het opgegeven tijdsbestek, wordt u gewaarschuwd voor een mogelijke brute force-aanval.
Neem een voorbeeld waarbij u de aanmeldpogingen van de laatste drie uur wilt monitoren en een waarschuwing wilt als er meer dan 15 mislukte pogingen zijn. Met NinjaOne heeft u de flexibiliteit om je beveiligingsaanpak aan te passen door het script uit te voeren met aangepaste parameters zoals -Uren 3 -Pogingen 15. Met deze functie kunt u zich aanpassen aan de unieke beveiligingsbehoeften en risicoprofielen van uw organisatie.
Extra veiligheidsmaatregelen
Detectie van brute aanvallen is slechts éénonderdeelvan een holistische cyberbeveiligingsstrategie. Andere cruciale maatregelen zijn onder andere:
- Sterke wachtwoorden: Moedig gebruikers aan om robuuste, unieke wachtwoorden te maken, het liefst een mix van letters, cijfers en symbolen. Wachtwoordbeheerders kunnen het beheer van complexe wachtwoorden.
- Multi-factor authenticatie (MFA): MFA biedt een extra beveiligingslaag, waarbij gebruikers hun identiteit moeten verifiëren aan de hand van twee of meer mechanismen (bijv. iets dat ze weten, iets dat ze hebben of iets dat ze zijn).
- Software-updates: Het regelmatig bijwerken van software is van vitaal belang. Updates omvatten vaak patches voor zwakke plekken in de beveiliging die, als ze niet worden verholpen, een open deur kunnen vormen voor cyberaanvallen.
- Opleiding werknemers: Door een trainingsprogramma voor beveiligingsbewustzijn op te zetten, kunnen werknemers meer te weten komen over cyberbedreigingen en de rol die zij spelen bij het handhaven van de beveiliging. De menselijke factor is vaak de zwakste schakel in cyberbeveiliging en goed geïnformeerde werknemers kunnen uw verdediging aanzienlijk versterken.
Slotbeschouwingen:
Effectieve brute kracht detectie is cruciaal in het huidige digitale landschap en ons PowerShell script biedt een krachtige, aanpasbare oplossing. Het is echter essentieel om te onthouden dat het deel uitmaakt van een bredere cyberbeveiligingsstrategie. Door realtime detectie te combineren met sterke wachtwoorden, MFA, software-updates en training van medewerkers kunt u een uitgebreid beveiligingsprotocol creëren om uw digitale bezittingen te beschermen.
NinjaOne is een uitgebreide tool die uw vermogen om brute force aanvallen op te sporen en tegen te gaan aanzienlijk vergroot. Met volledige controle over de beveiliging van eindpunten kunt u toepassingen beheren, registers op afstand bewerken en scripts inzetten om de beveiliging te verbeteren. Rolgebaseerde toegangscontroles zorgen ervoor dat uw technici alleen de benodigde toegangsniveaus hebben, waardoor potentiële inbreuken worden beperkt. Het platform biedt ook tools voor het beheer van schijfversleuteling en de mogelijkheid om automatisch eindpuntbeveiliging te installeren en te beheren, waardoor u granulaire controle krijgt over antivirusactiviteiten.
Bovendien, De inloggegevensuitwisselingsfunctie van NinjaOne beschermt inloggegevens een kritieke verdedigingslinie tegen brute force-aanvallen. Het maakt ook de identificatie en verwijdering van malafide endpoints mogelijk, wat een extra beschermingslaag toevoegt. Wacht niet tot een inbreuk plaatsvindt. Begin uw reis naar verbeterde beveiliging vandaag nog met NinjaOne.
