Ataque SYN

Microsoft.Windows.NetworkLoadBalancing.6.2.SynAttack (UnitMonitor)

Este monitor verifica se há eventos que indicam um possível ataque de negação de serviço.

Knowledge Base article:

Resumo

Esse alerta pode ser um indicativo de um possível ataque de negação de serviço.

Causas

Isso pode ser causado por um ataque de negação de serviço ou cluster de NLB significativamente sobrecarregado.

Resoluções

Analise as ameaças contra o cluster de Balanceamento de Carga de Rede (NLB), incluindo possíveis ataques de negação de serviço e tomar as medidas adequadas. Para obter mais informações sobre segurança, consulte Security and Protection.

Se não for um ataque, o cluster de NLB pode estar sobrecarregado. Para distribuir a carga de tráfego do cluster em mais hosts, é possível adicionar mais hosts ao cluster de NLB.

Quando você estiver usando o Gerenciador de NLB, é necessário ser membro do grupo de Administradores no host que está configurando, ou ter recebido a devida autoridade. Se você estiver configurando um cluster ou host executando Gerenciador de NLB a partir de um computador que não faz parte do cluster, não será necessário ser membro do grupo de Administradores nesse computador.

Para adicionar um host a um cluster de NLB:

Clique em Iniciar, em Ferramentas Administrativas e em Gerenciador de Balanceamento de Carga de Rede. Você também pode abrir o Gerenciador NLB digitando Nlbmgr em um prompt de comando.
Clique com o botão direito do mouse no cluster ao qual deseja adicionar o host e selecione Adicionar Host ao Cluster. Se o Gerenciador NLB não listar o cluster, faça a conexão com o cluster.
Digite o nome do host e clique em Conectar. Os adaptadores de rede disponíveis no host serão listados na parte inferior da caixa de diálogo.
Clique no adaptador de rede que deseja usar para o NLB e clique em Avançar. O endereço IP configurado nesse adaptador de rede será o endereço IP dedicado desse host.
Configure os parâmetros de host restantes conforme apropriado e clique em Concluir.

Element properties:

Target

Microsoft.Windows.NetworkLoadBalancing.6.2.ServerRole

Parent Monitor

System.Health.SecurityState

Category

SecurityHealth

Enabled

True

Alert Generate

True

Alert Severity

Error

Alert Priority

Normal

Alert Auto Resolve

True

Monitor Type

Microsoft.Windows.2SingleEventLog2StateMonitorType

Remotable

True

Accessibility

Public

Alert Message

Ataque SYN foi detectado

{0}

RunAs

Default

Source Code:

<UnitMonitor ID="Microsoft.Windows.NetworkLoadBalancing.6.2.SynAttack" Accessibility="Public" Enabled="onEssentialMonitoring" Target="Microsoft.Windows.NetworkLoadBalancing.6.2.ServerRole" ParentMonitorID="Health!System.Health.SecurityState" Remotable="true" Priority="Normal" TypeID="Windows!Microsoft.Windows.2SingleEventLog2StateMonitorType" ConfirmDelivery="true">

  <Category>SecurityHealth</Category>

  <AlertSettings AlertMessage="Microsoft.Windows.NetworkLoadBalancing.6.2.SynAttack_AlertMessageResourceID">

    <AlertOnState>Error</AlertOnState>

    <AutoResolve>true</AutoResolve>

    <AlertPriority>Normal</AlertPriority>

    <AlertSeverity>Error</AlertSeverity>

    <AlertParameters>

      <AlertParameter1>$Data/Context/EventDescription$</AlertParameter1>

    </AlertParameters>

  </AlertSettings>

  <OperationalStates>

    <OperationalState ID="FirstEventRaised" MonitorTypeStateID="FirstEventRaised" HealthState="Error"/>

    <OperationalState ID="SecondEventRaised" MonitorTypeStateID="SecondEventRaised" HealthState="Success"/>

  </OperationalStates>

  <Configuration>

    <FirstComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</FirstComputerName>

    <FirstLogName>System</FirstLogName>

    <FirstExpression>

      <And>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="UnsignedInteger">92</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="String">PublisherName</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="String">Microsoft-Windows-NLB</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="String">Params/Param[1]</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="String">$Target/Property[Type="NLBLibrary!Microsoft.Windows.NetworkLoadBalancing.ServerRole"]/ClusterIP$</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

      </And>

    </FirstExpression>

    <SecondComputerName>$Target/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</SecondComputerName>

    <SecondLogName>System</SecondLogName>

    <SecondExpression>

      <And>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="UnsignedInteger">93</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="String">PublisherName</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="String">Microsoft-Windows-NLB</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="String">Params/Param[1]</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="String">$Target/Property[Type="NLBLibrary!Microsoft.Windows.NetworkLoadBalancing.ServerRole"]/ClusterIP$</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

      </And>

    </SecondExpression>

  </Configuration>

</UnitMonitor>