Deaktivieren Sie die Meldung „Anmeldeversuch fehlgeschlagen“ in RDP auf Windows Server

Warum wird die Meldung «Anmeldeversuch fehlgeschlagen» angezeigt, wenn eine Verbindung über RDP hergestellt wird?

Nachricht “"Der Anmeldeversuch ist fehlgeschlagen."” Beim Verbindungsaufbau zu einem Windows Server über RDP kann dies auf verschiedene Probleme hinweisen. Ursachen hierfür können eine fehlerhafte Authentifizierung (Benutzername/Passwort), Probleme mit der Netzwerkauthentifizierung (NLA), Einschränkungen durch Kontorichtlinien oder auch wiederholte Brute-Force-Angriffe sein.

Bevor man versucht, die Protokollierungseinstellungen zu deaktivieren oder zu ändern, ist es wichtig, die tatsächliche Fehlerursache zu ermitteln, um unnötige Sicherheitsrisiken zu vermeiden.

Deaktivierung der RDP-Einstellungen für fehlgeschlagene Anmeldeversuche in Windows Server – was und warum?

Diese Meldung bezieht sich in der Regel auf eines der folgenden Dinge:

• Falscher Benutzername oder falsches Passwort.
• aktiv sein NLA und die Clienteinstellungen stimmen nicht überein.
• Richtlinienbeschränkungen wie z. B. zulässige Anmeldezeiten.
• Brute-Force-Angriffe, die mehrere Protokolleinträge mit der Ereignis-ID 4625 erzeugen.
• Authentifizierungseinstellungen auf dem Client, die dazu führen, dass das Fehlerfenster wiederholt angezeigt wird.

Wichtiger Hinweis: Das Löschen oder Deaktivieren von Protokollen fehlgeschlagener Anmeldeversuche führt zum Verlust forensischer Informationen und zur Beeinträchtigung der Angriffserkennung. Es ist ratsam, alternative Lösungen zu verwenden, anstatt die Protokolle vollständig zu löschen.

Praktische Möglichkeiten zum Deaktivieren oder Verwalten der Meldung/des Protokolls “Anmeldeversuch fehlgeschlagen”.”

1) Meldungsanzeige auf dem Client entfernen (benutzerorientierte Lösung, ohne das Serverprotokoll zu löschen)

Wenn das Ziel darin besteht, zu verhindern, dass das Fehlerfenster wiederholt auf dem Client angezeigt wird, können Sie die folgenden Optionen verwenden:

• Nutzen Sie die Option Anmeldeinformationen speichern Bei einer Remotedesktopverbindung oder beim Erstellen einer Datei .rdp Mit geeigneten Einstellungen, um die Anmeldeinformationsanforderung jedes Mal zu entfernen.
• Für Unternehmenskunden verwenden Sie Gruppenrichtlinienobjekte (GPO), um die Delegierung oder die Delegierung von Anmeldeinformationen einzurichten (Computerkonfiguration → Administrative Vorlagen → System → Delegierung von Anmeldeinformationen).

Beispielinhalt einer .rdp-Datei, die zum Speichern von Anmeldeinformationen nützlich ist:

enablecredsspsupport:i:1
prompt for credentials:i:0
username:s:DOMAIN\username

2) Deaktivierung der Protokollierung fehlgeschlagener Anmeldeversuche auf dem Server (mit Warnung)

Deaktivieren der Protokollierung von Anmeldefehlern mithilfe von Erweiterte Prüfrichtlinie Dadurch wird zwar die Generierung der Ereignis-ID 4625 verhindert, die Serversicherheit wird jedoch beeinträchtigt.

Schritte (Gruppenrichtlinie oder lokal):

• Öffnen Sie den Editor für lokale Gruppenrichtlinien oder die Gruppenrichtlinienverwaltung: Computerkonfiguration → Windows-Einstellungen → Sicherheitseinstellungen → Erweiterte Überwachungsrichtlinienkonfiguration → Überwachungsrichtlinien → An-/Abmeldung → Anmeldung überwachen
• Um zu verhindern, dass Fehler protokolliert werden, bietet sich die Option an Versagen Deaktivieren.

Befehle zum Anzeigen und Bearbeiten mit dem Tool auditpol:

auditpol /get /category:*
auditpol /set /subcategory:"Logon" /success:disable /failure:disable
# or to disable only failure
auditpol /set /subcategory:"Logon" /failure:disable

3) Brute-Force-Angriffe managen und die Generierung irrelevanter Protokolle reduzieren

Es ist besser, Lösungen zur Reduzierung von Angriffen und der Protokollgenerierung einzusetzen, bevor man die Protokollierung deaktiviert:

• Aktivieren Richtlinie zur Kontosperrung (Beispiel: Schwellenwert = 5, Reset = 30 Minuten).
• Aktivieren Netzwerkbasierte Authentifizierung (NLA) Für RDP.
• Beschränken Sie den RDP-Zugriff mithilfe einer Firewall auf Basis gültiger IP-Adressen.
• Verwenden Sie RD Gateway oder VPN, um zu verhindern, dass RDP-Ports im öffentlichen Internet geöffnet sind.
• Installieren Sie Schutztools wie RdpGuard oder IPBan, um schädliche IPs automatisch zu blockieren.

Beispiel für einen Firewall-Befehl, um RDP nur von einer bestimmten IP-Adresse zuzulassen:

netsh advfirewall firewall add rule name="Allow RDP from Office" dir=in action=allow protocol=TCP localport=3389 remoteip=203.0.113.45/32

Beispiel für die Änderung des RDP-Ports mit PowerShell (mit großer Vorsicht):

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value 3390
Restart-Service TermService -Force

4) Filtern oder Verwalten der Anzeige von Protokollen in der Ereignisanzeige

Wenn es nur darum geht, die Ereignisanzeige zu lesen, ist das Löschen des Protokolls nicht notwendig. Bessere Optionen:

• Bau einen Benutzerdefinierte Ansicht Im Ereignisprotokoll nach der Ereignis-ID 4625 filtern.
• Leiten Sie die Protokolle an SIEM oder ELK/Graylog weiter und führen Sie dort die Filterung durch.

PowerShell-Beispiel zum Extrahieren der letzten fehlgeschlagenen Anmeldeereignisse:

Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625} -MaxEvents 50 | Format-List TimeCreated, Message

Praktische Beispiele und Kurzbefehle

Hier ist eine Liste von Referenzbefehlen für häufige Aktionen:

• Aktuelle Prüfungsrichtlinien ansehen:

  auditpol /get /category:*

• Anmeldefehler deaktivieren:

  auditpol /set /subcategory:"Logon" /failure:disable

• Fügen Sie eine Firewall-Regel hinzu, um RDP nur von bestimmten IP-Adressen zuzulassen:

  netsh advfirewall firewall add rule name="Allow RDP from Office" dir=in action=allow protocol=TCP localport=3389 remoteip=203.0.113.45/32

• Ändern des RDP-Ports (riskant – Vorsicht ist geboten):

  Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value 3390
  Restart-Service TermService -Force

• Protokolle werden extrahiert 4625:

  Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625} -MaxEvents 100

Bewährte Verfahren für das Hosting von RDP in der Cloud-Infrastruktur

Verwenden Sie die folgenden Lösungen, um RDP sicher in Cloud-Umgebungen zu hosten:

• Nutzung eines VPS für Handel oder Gaming Durch die Nähe zum Standort wird der Ping reduziert und die Möglichkeit besteht, RDP an eine dedizierte IP-Adresse zu binden.
• Anti-DDoS-Server und eine Netzwerk-Firewall, um häufige Angriffe auf RDP zu verhindern.
• Aktivieren NLA und verwenden RD-Gateway Zusammen mit MFA/2FA Für mehr Authentifizierungsebenen.
• Verwendung von Privates Netzwerk / VPC Der RDP-Zugriff soll ausschließlich über VPN oder Jump Box beschränkt werden.
• Für rechenintensive Aufgaben sollte ein Grafikserver (GPU Cloud) verwendet und der administrative Zugriff beschränkt werden.
• Überwachung und Weiterleitung von Protokollen an einen Überwachungsdienst (SIEM) anstatt die lokale Protokollierung zu deaktivieren.

Spezielle Tipps für Web-/DevOps-Manager, Händler und Gamer

Auf unterschiedliche Bedürfnisse zugeschnittene Empfehlungen:

• WordPress-Administratoren und DevOps-Mitarbeiter: Wenn Sie RDP aktivieren, verwenden Sie SSH-Tunneling oder VPN für den Zugriff auf die Admin-Panels, um den RDP-Port vor dem öffentlichen Internet zu verbergen.
• Händler: Ein Server in einem der Mehr als 85 Standorte Suchen Sie sich einen Server in der Nähe der Zielbörse und nutzen Sie für den Handel einen VPS mit niedrigem Ping und IP-Sperrfunktion.
• Für Gamer: Um den niedrigsten Ping und maximale Stabilität zu erreichen, nutzen Sie einen Gaming-VPS oder Cloud-Server mit BGP-Netzwerk an geeigneten Standorten.

Abschluss

Nachrichtenaufzeichnung und -anzeige vollständig deaktivieren “"Der Anmeldeversuch ist fehlgeschlagen."” Die Lösung ist nicht risikofrei. Sicherer ist es, zunächst die Fehlerursache zu untersuchen und dann Maßnahmen wie die Einschränkung des RDP-Zugriffs (Firewall, VPN, RD-Gateway), die Aktivierung der Kontosperrung und den Einsatz von Schutztools zu ergreifen.

Wenn Sie sicheres Hosting mit verschiedenen Standorten und Funktionen wie einem Trading-VPS, einem Anti-DDoS-Server oder einem Grafikserver benötigen, empfiehlt es sich, die Sicherheitseinstellungen mit dem zuständigen Support-Team zu überprüfen, um eine Konfiguration zu gewährleisten, die Ihren Bedürfnissen entspricht.

Häufig gestellte Fragen