目录

简介

先决条件

根本原因

确认

解决方案

简介

如果使用远程桌面协议(RDP)登录到远程主机，并且远程用户名不同于用户，则FireSIGHT系统将在FireSIGHT管理中心上更改与您的IP地址关联的用户的IP地址。这会导致用户相对于访问控制规则的权限发生更改。你会注意到不正确的用户与工作站关联。本文档提供了此问题的解决方案。

先决条件

Cisco建议您具备FireSIGHT系统和用户代理知识。

注意：本文档中的信息是从特定实验环境中的设备创建的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

根本原因

此问题是由于Microsoft Active Directory(AD)将RDP身份验证尝试记录到域控制器上的Windows安全日志的方式造成的。AD记录针对源主机IP地址（而不是您连接的RDP终端）的RDP会话身份验证尝试。如果您使用其他用户帐户登录到远程主机，这将更改与原始工作站的IP地址关联的用户。

确认

要验证这是什么情况，您可以验证来自原始工作站的登录事件的IP地址与RDP远程主机的IP地址是否相同。

要查找这些事件，您需要执行以下步骤：

第1步：确定主机针对哪个域控制器进行身份验证：

运行以下命令：

nltest /dsgetdc:<windows.domain.name>

示例输出：

C:\Users\WinXP.LAB>nltest /dsgetdc:support.lab

DC: \\Win2k8.support.lab

Address: \\192.X.X.X

Dom Guid: XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX

Dom Name: support.lab

Forest Name: support.lab

Dc Site Name: Default-First-Site-Name

Our Site Name: Default-First-Site-Name

Flags: PDC GC DS LDAP KDC TIMESERV WRITABLE DNS_DC DNS_DOMAIN DNS_FOREST

CLOSE_SITE FULL_SECRET WS 0x4000

The command completed successfully

启动“DC：”的行将是域控制器的名称，启动“Address：”的行将是IP地址。

第2步：使用RDP登录第1步中识别的域控制器

第3步：转至开始>管理工具>事件查看器。

第4步：向下钻取到Windows Logs > Security。

第5步：点击过滤当前日志，点击XML选项卡，然后点击编辑查询，过滤工作站的IP地址。

第6步：输入以下XML查询，将IP地址替换为<ip address>

<QueryList>

<Query Id="0" Path="Security">

<Select Path="Security">

*[EventData[Data[@Name='IpAddress'] and(Data='<IP address>')]]

</Select>

</Query>

</QueryList>

第7步：单击Logon Event，然后单击Details选项卡。

输出示例：

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">

- <System>

<Provider Name="Microsoft-Windows-Security-Auditing"

Guid="{XXXXXXXX-XXX-XXXX-XXX-XXXXXXXXXXXX}"/>

<EventID>4624</EventID>

<Version>0</Version>

<Level>0</Level>

<Task>12544</Task>

<Opcode>0</Opcode>

<Keywords>0x8020000000000000</Keywords>

<TimeCreated SystemTime="2014-07-22T20:35:12.750Z" />

<EventRecordID>4130857</EventRecordID>

<Correlation />

<Execution ProcessID="576" ThreadID="704" />

<Channel>Security</Channel>

<Computer>WIN2k8.Support.lab</Computer>

<Security />

</System>

- <EventData>

<Data Name="SubjectUserSid">S-1-0-0</Data>

<Data Name="SubjectUserName">-</Data>

<Data Name="SubjectDomainName">-</Data>

<Data Name="SubjectLogonId">0x0</Data>

<Data Name="TargetUserSid">S-X-X-XX-XXXXXXXXXX-XXXXXXXXXX-XXXXXXXXX-XXXX</Data>

<Data Name="TargetUserName">WINXP-SUPLAB$</Data>

<Data Name="TargetDomainName">SUPPORT</Data>

<Data Name="TargetLogonId">0x13c4101f</Data>

<Data Name="LogonType">3</Data>

<Data Name="LogonProcessName">Kerberos</Data>

<Data Name="AuthenticationPackageName">Kerberos</Data>

<Data Name="WorkstationName" />

<Data Name="LogonGuid">{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}</Data>

<Data Name="TransmittedServices">-</Data>

<Data Name="LmPackageName">-</Data>

<Data Name="KeyLength">0</Data>

<Data Name="ProcessId">0x0</Data>

<Data Name="ProcessName">-</Data>

<Data Name="IpAddress">192.0.2.10</Data>

<Data Name="IpPort">2401</Data>

</EventData>

在通过RDP登录后完成这些相同的步骤，您会注意到您将从原始登录的登录事件XML数据收到具有如下所示相同IP地址的另一登录事件（事件ID 4624）：

<Data Name="IpAddress">192.x.x.x</Data>

解决方案

要缓解此问题，如果您使用的是用户代理2.1或更高版本，则可以排除您将要使用的任何帐户

主要用于用户代理配置中的RDP。

第1步：登录用户代理主机。

第2步：启动用户代理用户界面。

第3步：点击Excluded Usernames选项卡。

第4步：输入要排除的所有用户名。

第5步：点击保存。

在此列表中输入的用户不会在FireSIGHT管理中心上生成登录事件，因此不会生成登录事件

与IP地址相关联。