通过Windows系统日志判断是否存在暴力破解行为

1、打开计算机管理，在Windows事件管理器中，点击安全事件，在右边筛选当前日志。

注意：

登录失败的事件，一般每次破解，如果密码错误，事件记录一次。在查看事件时，我们可以看到很多登录失败的例子，有些是正常的，有些是非正常的，以下，来介绍如何区分：

（1）第一看事件量，在1分钟内连续登录失败次数超过30次的，一般都是异常；

登录类型：登录类型为2的是交互式登录，登录类型为3的为网络登录，一般黑客暴力破解都是使用网络登录 ，使用交互式登录的，一般都有UI的。

（2）其次看登录原因，登录原因一般都是错误的用户名或密码。

如果用户需要查看是哪个方式登录失败的，那需要看用户是否在以上最常见的几个远程服务未做防火墙加固。

2、以下5种方式，其中前三种，黑客利用最多。如果通过这三种方式远程，在事件管理器中，会有很多破解的事件。

• 暴力破解基本都是工具所为，内网有中毒的机器，去扫描内网的机器密码。

• 首先我们需要了解，为什么工具要这么做，通过哪些途径可以进行暴力破解。

• 工具这么做的目的无非就是为了远程去感染这些机器；所以我们最主要需要了解它有哪些途径去破解用户密码。

3、Windows的远程验证，通常有以下几种方式：

默认局域网中，windows防火墙即使开启的情况，以下远程任然可以使用,除非用户在连接网络的时候选择的是公共网络，这样防火墙会有严格限制，但一般用户都不会选择，默认是专用网络。

（1）WMI远程:（关闭的方式：在防火墙中，关闭WMI远程即可）

        默认所有Windows桌面系统和服务器系统全部开启，以下为示例：可以通过WMI查看远程机器的相应进程，通过WMI黑客几乎可以做任何事。

（2）Powershell远程验证：（关闭的方式：在防火墙中，禁用POWERSHELL远程，默认是开启的）

        默认所有Windows桌面系统和服务器系统全部开启，可以通过Powershell远程执行任何想执行的操作，而且是最高权限。如图

（3）Windows共享验证：(关闭的方式：禁用网络连接中的文件共享服务即可)

        默认所有windows桌面系统及服务器系统全部开启。通过开启c$共享和admin$共享，可以将文件拷到C:\Users\%username%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup这个目录下，这样下次用户重启，即会运行病毒。

（4）MMC控制台远程：默认所有默认所有的windows桌面及服务器系统全部开启。

（5）注册表远程：默认所有的windows桌面及服务器系统全部开启。

其它的远程方式：一般是靠安装了某些应用的远程方式。

注意：

        如果建议用户关闭“WMI”、共享、Powershell等功能时候，请先与用户进行沟通确认，避免用户业务或系统受到影响。