detecting-rdp-brute-force-attacks

name	detecting-rdp-brute-force-attacks
description	通过分析 Windows 安全事件日志中的失败认证模式（事件 ID 4625）、失败后的成功登录（事件 ID 4624）、NLA 失败以及源 IP 频率分析，检测 RDP 暴力破解攻击。
domain	cybersecurity
subdomain	threat-detection
tags	["threat-detection","rdp","brute-force","windows-event-logs","blue-team","siem"]
version	1.0
author	mahipal
license	Apache-2.0

检测 RDP 暴力破解攻击

概述

RDP 暴力破解攻击通过对暴露的 RDP 端点快速尝试猜测凭据来攻击 Windows 远程桌面协议服务。检测依赖于分析 Windows 安全事件日志中的事件 ID 4625（登录类型 10 或 3 的失败登录），并与事件 ID 4624（成功登录）关联，以识别被入侵的账户。本技能涵盖使用 python-evtx 解析 EVTX 文件，通过源 IP 频率分析识别攻击模式，检测 NLA 绕过尝试，以及生成可操作的检测报告。

前置条件

• Python 3.9+ 及 python-evtx、lxml 库
• Windows 安全 EVTX 日志文件（从事件查看器导出或通过 WEF 收集）
• 了解 Windows 认证事件 ID（4624、4625、4776）
• 熟悉 RDP 登录类型（NLA 为类型 3，RemoteInteractive 为类型 10）

步骤

步骤一：导出安全事件日志

使用事件查看器或 wevtutil 将 Windows 安全日志导出为 EVTX 格式：

wevtutil epl Security C:\logs\security.evtx

步骤二：解析失败登录事件

使用 python-evtx 解析事件 ID 4625 条目，提取源 IP、目标用户名、失败原因（Sub Status）和登录类型字段。

步骤三：分析攻击模式

通过以下方式识别暴力破解模式：

• 统计时间窗口内每个源 IP 的失败登录次数
• 检测用户名喷洒攻击（同一 IP 尝试多个用户名）
• 将 4625 失败与来自同一 IP 的后续 4624 成功关联

步骤四：生成检测报告

生成包含头部攻击 IP、目标账户、基于时间的分析和入侵指标的 JSON 报告。

预期输出

JSON 报告，包含：

• 失败登录事件总数和唯一源 IP 数量
• 按失败次数排名的顶部攻击 IP
• 目标用户名和失败子状态码
• 暴力破解尝试后的成功登录（潜在入侵）
• 攻击强度的时间序列分析