目錄

簡介

必要條件

根本原因

驗證

解決方案

簡介

如果您使用遠端案頭協定(RDP)登入到遠端主機，並且遠端使用者名稱不同於您的使用者，則FireSIGHT系統將在FireSIGHT管理中心上更改與您的IP地址關聯的使用者的IP地址。這會導致使用者與訪問控制規則相關的許可權發生更改。你會注意到我不正確的使用者與工作站關聯。本文提供此問題的解決方案。

必要條件

思科建議您瞭解FireSIGHT系統和使用者代理。

注意：本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

根本原因

此問題是由於Microsoft Active Directory(AD)將RDP身份驗證嘗試記錄到域控制器上的Windows安全日誌的方式造成的。AD記錄針對始發主機IP地址而非RDP終端的RDP會話身份驗證嘗試。如果您使用不同的使用者帳戶登入到遠端主機，這將更改與原始工作站的IP地址關聯的使用者。

驗證

要驗證這是什麼情況，您可以驗證來自原始工作站的登入事件的IP地址與RDP遠端主機的IP地址是否相同。

要查詢這些事件，您需要執行以下步驟：

第1步：確定主機正在對其進行身份驗證的域控制器：

運行以下命令：

nltest /dsgetdc:<windows.domain.name>

輸出示例：

C:\Users\WinXP.LAB>nltest /dsgetdc:support.lab

DC: \\Win2k8.support.lab

Address: \\192.X.X.X

Dom Guid: XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX

Dom Name: support.lab

Forest Name: support.lab

Dc Site Name: Default-First-Site-Name

Our Site Name: Default-First-Site-Name

Flags: PDC GC DS LDAP KDC TIMESERV WRITABLE DNS_DC DNS_DOMAIN DNS_FOREST

CLOSE_SITE FULL_SECRET WS 0x4000

The command completed successfully

啟動「DC：」的行將是域控制器的名稱，啟動「Address：」的行將是IP地址。

第2步：使用RDP登入到第1步中識別的域控制器

第3步：轉至開始>管理工具>事件檢視器。

第4步：細化到Windows Logs > Security。

第5步：通過按一下過濾當前日誌，按一下XML頁籤，然後按一下編輯查詢來過濾工作站的IP地址。

第6步：輸入以下XML查詢，將IP地址替換為<ip address>

<QueryList>

<Query Id="0" Path="Security">

<Select Path="Security">

*[EventData[Data[@Name='IpAddress'] and(Data='<IP address>')]]

</Select>

</Query>

</QueryList>

第7步：按一下Logon Event，然後按一下Details頁籤。

輸出示例：

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">

- <System>

<Provider Name="Microsoft-Windows-Security-Auditing"

Guid="{XXXXXXXX-XXX-XXXX-XXX-XXXXXXXXXXXX}"/>

<EventID>4624</EventID>

<Version>0</Version>

<Level>0</Level>

<Task>12544</Task>

<Opcode>0</Opcode>

<Keywords>0x8020000000000000</Keywords>

<TimeCreated SystemTime="2014-07-22T20:35:12.750Z" />

<EventRecordID>4130857</EventRecordID>

<Correlation />

<Execution ProcessID="576" ThreadID="704" />

<Channel>Security</Channel>

<Computer>WIN2k8.Support.lab</Computer>

<Security />

</System>

- <EventData>

<Data Name="SubjectUserSid">S-1-0-0</Data>

<Data Name="SubjectUserName">-</Data>

<Data Name="SubjectDomainName">-</Data>

<Data Name="SubjectLogonId">0x0</Data>

<Data Name="TargetUserSid">S-X-X-XX-XXXXXXXXXX-XXXXXXXXXX-XXXXXXXXX-XXXX</Data>

<Data Name="TargetUserName">WINXP-SUPLAB$</Data>

<Data Name="TargetDomainName">SUPPORT</Data>

<Data Name="TargetLogonId">0x13c4101f</Data>

<Data Name="LogonType">3</Data>

<Data Name="LogonProcessName">Kerberos</Data>

<Data Name="AuthenticationPackageName">Kerberos</Data>

<Data Name="WorkstationName" />

<Data Name="LogonGuid">{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}</Data>

<Data Name="TransmittedServices">-</Data>

<Data Name="LmPackageName">-</Data>

<Data Name="KeyLength">0</Data>

<Data Name="ProcessId">0x0</Data>

<Data Name="ProcessName">-</Data>

<Data Name="IpAddress">192.0.2.10</Data>

<Data Name="IpPort">2401</Data>

</EventData>

在通過RDP登入後完成這些相同步驟，您會注意到您將收到另一個登入事件（事件ID 4624），該事件的IP地址與來自原始登入的登入事件XML資料中的以下行所示相同：

<Data Name="IpAddress">192.x.x.x</Data>

解決方案

要緩解此問題，如果您使用的是使用者代理2.1或更高版本，則可以排除您將要使用的任何帳戶

主要用於使用者代理配置中的RDP。

第1步：登入到使用者代理主機。

第2步：啟動使用者代理使用者介面。

第3步：點選Excluded Usernames選項卡。

第4步：輸入要排除的所有使用者名稱。

第5步：按一下Save。

在此清單中輸入的使用者不會在FireSIGHT管理中心上生成登入事件，因此不會生成登入事件

與IP地址關聯。