Detecção de Ataques de Força Bruta RDP

Visão Geral

Ataques de força bruta RDP visam os serviços do Windows Remote Desktop Protocol (RDP) tentando adivinhar credenciais rapidamente contra endpoints RDP expostos. A detecção depende da análise dos Logs de Segurança do Windows para o Event ID 4625 (logon falho com Logon Type 10 ou 3) e da correlação com o Event ID 4624 (logon bem-sucedido) para identificar contas comprometidas. Esta habilidade abrange a análise de arquivos EVTX com python-evtx, a identificação de padrões de ataque através da análise de frequência de IPs de origem, a detecção de tentativas de bypass de NLA e a geração de relatórios de detecção acionáveis.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de ataques de força bruta RDP.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.9+ com as bibliotecas python-evtx e lxml.
• Arquivos de log de Segurança do Windows em formato EVTX (exportados do Visualizador de Eventos ou coletados via WEF).
• Compreensão dos Event IDs de autenticação do Windows (4624, 4625, 4776).
• Familiaridade com os Tipos de Logon RDP (Tipo 3 para NLA, Tipo 10 para RemoteInteractive).

Passos

Passo 1: Exportar Logs de Segurança

Exporte os logs de Segurança do Windows para o formato EVTX usando o Visualizador de Eventos ou o wevtutil:

wevtutil epl Security C:\logs\security.evtx

Passo 2: Analisar Eventos de Logon Falho

Use o python-evtx para analisar entradas do Event ID 4625, extraindo os campos de IP de origem, nome de usuário de destino, motivo da falha (Sub Status) e Tipo de Logon.

Passo 3: Analisar Padrões de Ataque

Identifique padrões de força bruta através de:

• Contagem de logons falhos por IP de origem dentro de janelas de tempo.
• Detecção de ataques de "username spray" (muitos nomes de usuário de um único IP).
• Correlação de falhas 4625 com sucessos 4624 subsequentes do mesmo IP.

Passo 4: Gerar Relatório de Detecção

Produza um relatório em JSON com os principais IPs atacantes, contas visadas, análise baseada em tempo e indicadores de comprometimento.

Saída Esperada

Relatório em JSON contendo:

• Eventos totais de logon falho e IPs de origem únicos.
• Principais IPs atacantes classificados por contagem de falhas.
• Nomes de usuário visados e códigos de substatus de falha.
• Logons bem-sucedidos após tentativas de força bruta (potenciais comprometimentos).
• Análise de séries temporais da intensidade do ataque.