Ataque SYN

Microsoft.Windows.NetworkLoadBalancing.6.2.SynAttack (UnitMonitor)

Este monitor controla los eventos que indicarán un posible ataque por negación del servicio.

Knowledge Base article:

Resumen

Esta alerta puede indicar un posible ataque por denegación de servicio.

Causas

Esto puede ser causa de un ataque por denegación de servicio o un clúster NLB sobrecargado significativamente.

Soluciones

Analice las amenazas en contra del Equilibrio de carga de red (NLB), incluyendo los posible ataques por denegación de servicio, y tome las medidas necesarias. Para más información sobre seguridad, vea Seguridad y Protección.

Si no es un ataque, el clúster NLB puede estar sobrecargado. Para distribuir la carga de tráfico de clúster a más hosts, puede agregar más hosts al clúster NLB.

Cuando esté usando el Administrador NLB, debe ser un miembro del grupo de Administradores del host que esté configurando o bien debe tener delegada la autoridad correspondiente. Si está configurando un clúster o host ejecutando el administrador de NLB desde un equipo que no forma parte del clúster, no es necesario que sea miembro del grupo de Administradores en dicho equipo.

Para agregar un host al clúster NLB:

Haga clic en Inicio, luego en Herramientas administrativas y, a continuación, en Administrador de equilibrio de carga de red. El Administrador de NLB también se puede abrir si se escribe Nlbmgr en un símbolo del sistema.
Haga clic con el botón secundario en el clúster en el que desea agregar el host y seleccione Agregar host al clúster. Si el clúster no aparece en la lista del Administrador de NLB, conéctese al clúster.
Escriba el nombre del host y haga clic en Conectar. Los adaptadores de red que estén disponibles en el host se enumerarán en la parte inferior del cuadro de diálogo.
Haga clic en el adaptador de red que desea usar para el NLB y, a continuación, haga clic en Siguiente. La dirección IP configurada en este adaptador de red será la dirección IP dedicada de este host.
Configure el resto de parámetros de host como corresponda y, a continuación, haga clic en Finalizar.

Element properties:

Target

Microsoft.Windows.NetworkLoadBalancing.6.2.ServerRole

Parent Monitor

System.Health.SecurityState

Category

SecurityHealth

Enabled

True

Alert Generate

True

Alert Severity

Error

Alert Priority

Normal

Alert Auto Resolve

True

Monitor Type

Microsoft.Windows.2SingleEventLog2StateMonitorType

Remotable

True

Accessibility

Public

Alert Message

Se detectó un ataque SYN

{0}

RunAs

Default

Source Code:

<UnitMonitor ID="Microsoft.Windows.NetworkLoadBalancing.6.2.SynAttack" Accessibility="Public" Enabled="onEssentialMonitoring" Target="Microsoft.Windows.NetworkLoadBalancing.6.2.ServerRole" ParentMonitorID="Health!System.Health.SecurityState" Remotable="true" Priority="Normal" TypeID="Windows!Microsoft.Windows.2SingleEventLog2StateMonitorType" ConfirmDelivery="true">

  <Category>SecurityHealth</Category>

  <AlertSettings AlertMessage="Microsoft.Windows.NetworkLoadBalancing.6.2.SynAttack_AlertMessageResourceID">

    <AlertOnState>Error</AlertOnState>

    <AutoResolve>true</AutoResolve>

    <AlertPriority>Normal</AlertPriority>

    <AlertSeverity>Error</AlertSeverity>

    <AlertParameters>

      <AlertParameter1>$Data/Context/EventDescription$</AlertParameter1>

    </AlertParameters>

  </AlertSettings>

  <OperationalStates>

    <OperationalState ID="FirstEventRaised" MonitorTypeStateID="FirstEventRaised" HealthState="Error"/>

    <OperationalState ID="SecondEventRaised" MonitorTypeStateID="SecondEventRaised" HealthState="Success"/>

  </OperationalStates>

  <Configuration>

    <FirstComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</FirstComputerName>

    <FirstLogName>System</FirstLogName>

    <FirstExpression>

      <And>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="UnsignedInteger">92</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="String">PublisherName</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="String">Microsoft-Windows-NLB</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="String">Params/Param[1]</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="String">$Target/Property[Type="NLBLibrary!Microsoft.Windows.NetworkLoadBalancing.ServerRole"]/ClusterIP$</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

      </And>

    </FirstExpression>

    <SecondComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</SecondComputerName>

    <SecondLogName>System</SecondLogName>

    <SecondExpression>

      <And>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="UnsignedInteger">93</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="String">PublisherName</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="String">Microsoft-Windows-NLB</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="String">Params/Param[1]</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="String">$Target/Property[Type="NLBLibrary!Microsoft.Windows.NetworkLoadBalancing.ServerRole"]/ClusterIP$</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

      </And>

    </SecondExpression>

  </Configuration>

</UnitMonitor>