Unknown user name or bad passwordが多発している。

081 高玉公一 0

ファイルサーバーのイベントログを確認したところ、数人のユーザーで「Unknown user name or bad password」が多発しているのがわかりました。あるユーザーは、１人で８０件もの「Unknown user name or bad password」のログが発生していました。

ウイルスに感染しているのかと思い、ウイルスチェックを実施してもらいましたが、ウイルスは存在しませんでした。また、それらのユーザーは問題なく自身のPCにログイン（Active Directory参加）できています。

このような挙動となる原因は何でしょうか？

Hebikuzure aka Murachi Akira 11,101 評価のポイント MVP

2024-08-23T06:01:28.04+00:00

4625(F): An account failed to log on.

こちらのイベントが見つかるのでしょうか？

その場合、Logon Type は何になっていますか？　イベントの詳細情報を示されるとアドバイスがしやすくなります。
081 高玉公一 0 評価のポイント

2024-08-23T08:53:59.2166667+00:00

回答ありがとうございます。ログオンタイプは３でした。他の情報（開示できるもの）は以下の通りです。

状態: 0xc000006d、サブステータス: 0xc0000064、プロセス: NtLmSsp、認証パッケージ: NTLM

これで何かわかりますでしょうか？
Hebikuzure aka Murachi Akira 11,101 評価のポイント MVP

2024-08-23T10:20:29.4933333+00:00

状態: 0xc000006d は「STATUS_LOGON_FAILURE」

サブステータス: 0xc0000064は「STATUS_NO_SUCH_USER」

なので、不正なパスワードではなく存在しないユーザー名でのログオン試行ですね。

[MS-ERREF]: NTSTATUS Values | Microsoft Learn
Hebikuzure aka Murachi Akira 11,101 評価のポイント MVP

2024-08-23T10:26:24.8366667+00:00

あと、

認証パッケージ: NTLM

ということは、ワークグループのサーバーでしょうか？
081 高玉公一 0 評価のポイント

2024-08-23T11:45:41.33+00:00

コメントありがとうございます。

ワークグループのサーバーではなく、ドメインに参加しています。
Hebikuzure aka Murachi Akira 11,101 評価のポイント MVP

2024-08-24T03:57:11.4466667+00:00

認証パッケージ: NTLM

ということだと、ドメインアカウントでの Kerberos 認証ではなく、ローカルアカウントに対する NTLM 認証が試みられたのではないかと思われます。

エラーの ID 4625 のイベントの「サブジェクト」と「新しいログオン」のセキュリティ ID・アカウント名・アカウントドメインとを確認してみてください。
※ XML ビューで SubjectUserSid・SubjectUserName・SubjectDomainName、TargetUserSid・TargetUserName・TargetDomainName を見ても良いです。

ありがちなのは認証時のユーザー名が UPN や username\domainname ではなく username だけとか .\username になっていて、ローカルユーザーとして認証しようとして（そのようなローカルユーザーは無いので）エラーになっているとかですね。
081 高玉公一 0 評価のポイント

2024-08-26T05:53:56.6533333+00:00

ログを確認したところ、エラーとなっている場合はTargetUserSid／TargetUserName／TargetDomainNameの値がおかしいです。

そこから発生しているPCの使用状況を確認したところ、そのPCはドメインに参加させつつ、ローカルアカウントでログインしてPCを使用していることがエラーとなる原因だと判明しました。ローカルアカウントのままで環境を構築し、ファイルサーバーへアクセスする時だけドメイン名でログインしていたようです。

いろいろアドバイスをいただきまして、ありがとうございました。
081 高玉公一 0 評価のポイント

2024-08-26T06:00:46.4866667+00:00

ご協力いただきまして、ありがとうございました。
Hebikuzure aka Murachi Akira 11,101 評価のポイント MVP

2024-08-26T06:53:40.5033333+00:00

やはりローカルアカウントのクレデンシャルを送信していたのですね。
多少ヒントになる情報が提供できたようで良かったです。

1 件の回答

Yanhong Liu 13,835 評価のポイント Microsoft ベンダー

2024-08-23T08:14:22.26+00:00

こんにちは

Q&Aフォーラムに投稿していただきありがとうございます。

Unknown user name or bad password このプロンプトは、アカウント名またはパスワードを使用してログインするときに表示されます。ユーザーが間違ったパスワードを入力した可能性があります。頻度が低い場合は無視できます。

また、PDC>>>DC>>>CLIENT のイベントログ 4771 または 4776 を確認して、正しくないパスワード検証を送信しているマシンを特定することもできます。

Network access validation algorithms and examples for Windows - Windows Server | Microsoft Learn

よろしくお願いいたします

ヤンホン

=====================================

回答が役に立った場合は、「回答を受け入れる」をクリックして賛成票を投じてください
サインインしてこの回答を評価してください。
081 高玉公一 0 評価のポイント

2024-08-23T08:48:08.9933333+00:00

コメントありがとうございます。

なお、ユーザー名、マシン名（リモートホスト）、リモートホストIPアドレスは特定できています。
サインインしてコメントする

コメントを使用して、説明、追加情報、または質問の改善を求めます。

次の方法で共有

Unknown user name or bad passwordが多発している。

1 件の回答

お客様の回答