Início / dba / Perguntas / 73342
Accepted
Sean Long
Asked: 2014-08-07 10:05:19 +0800 CST

Como posso caçar o que está tentando usar o SA?

  • 772

Não tenho certeza da alteração que causou isso (os logs não mostram nada específico), mas desde a tarde de segunda-feira, vejo o seguinte erro repetido:

Login failed for user 'sa'. Reason: An attempt to login using SQL authentication failed. Server is configured for Windows authentication only. [CLIENT: 10.10.220.32]

O IP informado é o SQL Server. Como isso está em andamento, existe uma maneira de descobrir o que está tentando passar nessa credencial? Se eu pudesse obter um nome de aplicativo ou qualquer coisa, provavelmente poderia resolver o problema.

sql-server-2008

2 respostas

  1. Best Answer

    Para rastrear o motivo da falha de login, o SQL Server Profiler seria uma boa opção. Também é possível usar o rastreamento de eventos estendidos para capturar eventos com falha de login e o motivo por trás da falha.

    Primeiro, você precisa iniciar o SQL Server Profiler. Crie um novo modelo ou use um existente, caso já o tenha feito. Inclua abaixo ao criar o rastreamento

    1.Audit Login Failed (under Security Audit)
2.User Error Messages (under Errors & Warnings)
3. Errorlog (under Errors & Warnings)

    Em seguida, desmarque a caixa de seleção Mostrar todos os eventos e selecione as seguintes colunas

    TextData
SPID
ClientProcessID
Hostname
LoginName
NTUserName
NTDomainName
ApplicationName
DatabaseName
Error

    Mais detalhes podem ser obtidos em This Link e This Link

    Para ler mais sobre o SQL Server Profiler, consulte este Microsoft Online Doc

    • 4

  2. Em 2008 / 2008 R2, você pode configurar a seguinte sessão:

    CREATE EVENT SESSION FailedLogins
ON SERVER
 ADD EVENT sqlserver.error_reported
 (
   ACTION 
   (
     sqlserver.client_app_name,
     sqlserver.client_hostname,
     sqlserver.nt_username
    )
    WHERE severity = 14
      AND state > 1 -- removes redundant state 1 event
  )
  ADD TARGET package0.asynchronous_file_target
  (
    SET FILENAME = N'C:\temp\FailedLogins.xel',
    METADATAFILE = N'C:\temp\FailedLogins.xem'
  );
GO

ALTER EVENT SESSION FailedLogins ON SERVER
  STATE = START;
GO

    Em seguida, você pode pesquisar os dados da sessão periodicamente usando a seguinte consulta:

    ;WITH event_data AS 
(
  SELECT data = CONVERT(XML, event_data)
    FROM sys.fn_xe_file_target_read_file(
   'C:\temp\FailedLogins*.xel', 
   'C:\temp\FailedLogins*.xem', 
   NULL, NULL
 )
),
tabular AS
(
  SELECT 
    [host] = data.value('(event/action[@name="client_hostname"]/value)[1]','nvarchar(4000)'),
    [app] = data.value('(event/action[@name="client_app_name"]/value)[1]','nvarchar(4000)'),
    [date/time] = data.value('(event/@timestamp)[1]','datetime2'),
    [error] = data.value('(event/data[@name="error_number"]/value)[1]','int'),
    [state] = data.value('(event/data[@name="state"]/value)[1]','tinyint'),
    [message] = data.value('(event/data[@name="message"]/value)[1]','nvarchar(250)')
  FROM event_data
)
SELECT [host],[app],[state],[message],[date/time]
  FROM tabular
  WHERE error = 18456 
  ORDER BY [date/time] DESC;

    Você pode ter que filtrar alguns falsos positivos aqui (pode haver outros erros de Gravidade 14 que não são falhas de login).

    [Descaradamente roubado deste meu post .]

    • 3

relate perguntas