☰

Ошибки входа в системную учетную запись каждые 30 секунд

tag-icon • tag-icon windows-server-2008 security windows-event-log failovercluster
Ошибки входа в системную учетную запись каждые 30 секунд

У нас есть два сервера Windows 2008 R2 SP1, работающих в отказоустойчивом кластере SQL. На одном из них мы получаем следующие события в журнале безопасностикаждые 30 секунд. Пустые части на самом деле пустые. Кто-нибудь видел похожие проблемы или помог отследить причину этих событий? Никакие другие журналы событий не показывают ничего существенного, что я могу сказать.

 Log Name:      Security
 Source:        Microsoft-Windows-Security-Auditing
 Date:          10/17/2012 10:02:04 PM
 Event ID:      4625
 Task Category: Logon
 Level:         Information
 Keywords:      Audit Failure
 User:          N/A
 Computer:      SERVERNAME.domainname.local
 Description:
 An account failed to log on.

 Subject:
 Security ID:       SYSTEM
 Account Name:      SERVERNAME$
 Account Domain:        DOMAINNAME
 Logon ID:      0x3e7

 Logon Type:            3

 Account For Which Logon Failed:
    Security ID:        NULL SID
    Account Name:       
    Account Domain:     

 Failure Information:
    Failure Reason:     Unknown user name or bad password.
    Status:         0xc000006d
    Sub Status:     0xc0000064

 Process Information:
     Caller Process ID: 0x238
     Caller Process Name:   C:\Windows\System32\lsass.exe

 Network Information:
     Workstation Name:  SERVERNAME
     Source Network Address:    -
     Source Port:       -

 Detailed Authentication Information:
     Logon Process:     Schannel
     Authentication Package:    Kerberos
     Transited Services:    -
     Package Name (NTLM only):  -
     Key Length:        0

Второе событие, которое следует за каждым из вышеперечисленных событий

 Log Name:      Security
 Source:        Microsoft-Windows-Security-Auditing
 Date:          10/17/2012 10:02:04 PM
 Event ID:      4625
 Task Category: Logon
 Level:         Information
 Keywords:      Audit Failure
 User:          N/A
 Computer:      SERVERNAME.domainname.local
 Description:
 An account failed to log on.

 Subject:
     Security ID:       NULL SID
     Account Name:      -
     Account Domain:        -
     Logon ID:      0x0

 Logon Type:            3

 Account For Which Logon Failed:
     Security ID:       NULL SID
     Account Name:      
     Account Domain:        

  Failure Information:
     Failure Reason:        An Error occured during Logon.
     Status:            0xc000006d
     Sub Status:        0x80090325

 Process Information:
      Caller Process ID:    0x0
      Caller Process Name:  -

 Network Information:
     Workstation Name:  -
     Source Network Address:    -
     Source Port:       -

 Detailed Authentication Information:
     Logon Process:     Schannel
     Authentication Package:    Microsoft Unified Security Protocol Provider
     Transited Services:    -
     Package Name (NTLM only):  -
     Key Length:        0

ОБНОВЛЕНИЕ РЕДАКТИРОВАНИЯ: У меня есть еще немного информации, которую я могу добавить. Я установил Network Monitor на этой машине и отфильтровал трафик Kerberos и нашел следующее, что соответствует временным меткам в журнале аудита безопасности.

Kerberos AS_Request Cname: CN=SQLInstanceName Область:domain.local Sname krbtgt/domain.local

Ответ от DC: KRB_ERROR: KDC_ERR_C_PRINCIPAL_UNKOWN

Затем я проверил журналы аудита безопасности центра обработки данных, который ответил, и обнаружил следующее:

 A Kerberos authentication ticket (TGT) was requested.

 Account Information:
         Account Name:      X509N:<S>CN=SQLInstanceName
     Supplied Realm Name:   domain.local
     User ID:           NULL SID

 Service Information:
     Service Name:      krbtgt/domain.local
     Service ID:        NULL SID

 Network Information:
     Client Address:        ::ffff:10.240.42.101
     Client Port:       58207

 Additional Information:
     Ticket Options:        0x40810010
     Result Code:       0x6
     Ticket Encryption Type:    0xffffffff
     Pre-Authentication Type:   -

 Certificate Information:
    Certificate Issuer Name:        
    Certificate Serial Number:  
    Certificate Thumbprint:

Похоже, это связано с сертификатом, установленным на машине SQL, до сих пор не имею ни малейшего понятия, почему или что не так с этим сертификатом. Он не просрочен и т. д.

решение1

Я использовал Microsoft Network Monitor, чтобы найти трафик, вызывающий это, и нашел трафик между этим сервером SQL и нашим сервером AD2. Сервер SQL отправлял Kerberos AS_REQ для учетной записи компьютера SQL Instance Name. Сервер AD отвечал KDC_ERR_C_PRINCIPAL_UNKNOWN. Я просмотрел журналы безопасности на сервере AD2 и обнаружил аудиты сбоев, подобные следующим:

 A Kerberos authentication ticket (TGT) was requested.

  Account Information:
     Account Name:      X509N:<S>CN=SQLInstanceName
     Supplied Realm Name:   domain.local
     User ID:           NULL SID

  Service Information:
     Service Name:      krbtgt/domain.local
     Service ID:        NULL SID

Что, похоже, является запросом на сертификат. Затем я использовал SysInternals Process Monitor и обнаружил трафик от пользовательской службы с теми же временными метками. Он запрашивал все хранилища сертификатов и ничего не находил.

Отключение этой службы остановит события безопасности.

Связанный контент