Windows의 MSSQL: 로그인 실패: 계정이 잠겼습니다.

Microsoft.SQLServer.Windows.EventRule.DBEngine.Login_failed__Account_locked_out_5_Rule (Rule)

사용자가 잠긴 계정으로 네트워크에 로그인하려고 했습니다. Windows 보안 로그의 MSSQLSERVER 이벤트 ID 18486에 사용자 이름이 명시됩니다.

Knowledge Base article:

요약

사용자가 잠긴 계정으로 네트워크에 로그인하려고 했습니다. Windows 보안 로그의 MSSQLSERVER 이벤트 ID 18486에 사용자 이름이 명시됩니다.

원인

계정이 잠겨 있어서 사용자 유효성을 검사하지 못했습니다. 관리자가 계정을 잠갔거나 정책 위반 시 프로그래밍에 따라 계정이 잠겼을 수 있습니다. 예를 들어 사용자가 연속해서 여러 번 네트워크에 로그인하려고 할 경우 Windows에서는 이 사용자가 로그온할 수 없도록 계정을 자동으로 잠글 수 있습니다. 이러한 방식은 무작위 공격으로부터 보호하기 위해 고안되었습니다.

해결 방법

잠겨 있는 계정을 관리하는 사용자에게 문의하세요. 사용자들이 네트워크에 합법적인 방식으로 액세스하려고 할 경우에는 보안 관리자에게 계정의 잠금을 해제해 달라고 요청하세요.

사용자가 Windows 보안 로그에 지정된 기간 동안 로그인을 시도하지 않은 경우 보안 공격의 가능성을 의심하세요.

재정의 가능한 매개 변수

이름	설명	기본값
사용	워크플로 사용하거나 사용하지 않도록 설정합니다.	예
간격(초)	워크플로를 실행하는 반복 시간 간격(초)입니다.	300
우선 순위	알림 우선 순위를 정의합니다.	1
심각도	알림 심각도를 정의합니다.	1
동기화 시간	동기화 시간
시간 제한(초)	여기서 지정한 시간 동안 워크플로가 실행된 후 워크플로가 닫히고 실패로 표시됩니다.	200
데이터베이스 연결 시간 제한(초)	워크플로는 지정된 기간 동안 데이터베이스에 액세스할 수 없으면 실패하며 이벤트를 등록합니다.	15

Element properties:

Target

Microsoft.SQLServer.Windows.DBEngine

Category

EventCollection

Enabled

True

Alert Generate

True

Alert Severity

Warning

Alert Priority

Normal

Remotable

True

Alert Message

Windows의 MSSQL: 로그인 실패: 계정이 잠겼습니다.

{0}

Comment

Mom2017ID='{51F708FC-3FCF-4C1A-9847-E00B99AADB4A}';MOM2017GroupID={467ECC75-C5DA-42BD-955C-A73BBB51AF74}

Member Modules:

ID	Module Type	TypeId	RunAs
_F6DA1507_12AF_11D3_AB21_00A0C98620CE_	DataSource	Microsoft.SQLServer.Windows.DataSource.EventCollectionFiltered	Default
GenerateAlert	WriteAction	System.Health.GenerateAlert	Default

Source Code:

<Rule ID="Microsoft.SQLServer.Windows.EventRule.DBEngine.Login_failed__Account_locked_out_5_Rule" Target="SqlDiscW!Microsoft.SQLServer.Windows.DBEngine" Enabled="true" ConfirmDelivery="true" Remotable="true" Comment="Mom2017ID='{51F708FC-3FCF-4C1A-9847-E00B99AADB4A}';MOM2017GroupID={467ECC75-C5DA-42BD-955C-A73BBB51AF74}">

  <Category>EventCollection</Category>

  <DataSources>

    <DataSource ID="_F6DA1507_12AF_11D3_AB21_00A0C98620CE_" Comment="{F6DA1507-12AF-11D3-AB21-00A0C98620CE}" TypeID="Microsoft.SQLServer.Windows.DataSource.EventCollectionFiltered">

      <MachineName>$Target/Property[Type="SqlCoreLib!Microsoft.SQLServer.Core.DBEngine"]/MachineName$</MachineName>

      <NetbiosComputerName>$Target/Property[Type="SqlCoreLib!Microsoft.SQLServer.Core.DBEngine"]/NetbiosComputerName$</NetbiosComputerName>

      <InstanceName>$Target/Property[Type="SqlCoreLib!Microsoft.SQLServer.Core.DBEngine"]/InstanceName$</InstanceName>

      <ConnectionString>$Target/Property[Type="SqlCoreLib!Microsoft.SQLServer.Core.DBEngine"]/ConnectionString$</ConnectionString>

      <InstanceVersion>$Target/Property[Type="SqlCoreLib!Microsoft.SQLServer.Core.DBEngine"]/Version$</InstanceVersion>

      <InstanceEdition>$Target/Property[Type="SqlCoreLib!Microsoft.SQLServer.Core.DBEngine"]/Edition$</InstanceEdition>

      <MonitoringType>$Target/Property[Type="SqlDiscW!Microsoft.SQLServer.Windows.DBEngine"]/MonitoringType$</MonitoringType>

      <SqlExecTimeoutSeconds>60</SqlExecTimeoutSeconds>

      <SqlTimeoutSeconds>15</SqlTimeoutSeconds>

      <TimeoutSeconds>200</TimeoutSeconds>

      <IntervalSeconds>300</IntervalSeconds>

      <SyncTime/>

      <EventDisplayNumber>18486</EventDisplayNumber>

    </DataSource>

  </DataSources>

  <WriteActions>

    <WriteAction ID="GenerateAlert" TypeID="Health!System.Health.GenerateAlert">

      <Priority>1</Priority>

      <Severity>1</Severity>

      <AlertMessageId>$MPElement[Name="Microsoft.SQLServer.Windows.EventRule.DBEngine.Login_failed__Account_locked_out_5_Rule.AlertMessage"]$</AlertMessageId>

      <AlertParameters>

        <AlertParameter1>$Target/Property[Type="SqlCoreLib!Microsoft.SQLServer.Core.DBEngine"]/MachineName$</AlertParameter1>

        <AlertParameter2>$Target/Property[Type="SqlCoreLib!Microsoft.SQLServer.Core.DBEngine"]/InstanceName$</AlertParameter2>

        <AlertParameter3>Event ID: $Data/Property[@Name='EventID']$. $Data/Property[@Name='Message']$</AlertParameter3>

      </AlertParameters>

      <Suppression>

        <SuppressionValue/>

      </Suppression>

    </WriteAction>

  </WriteActions>

</Rule>