Como detectar tentativas de logon malsucedidas no VMware®

Netwrix Auditor for VMware

Execute o Netwrix Auditor → Clique em Reports→ Escolha VMware→ Escolha All ESXi and vCenter Logon Activity→ Clique em View.

Saiba mais sobre Netwrix Auditor for VMware

Solução Nativa

Para listar todas as tentativas de logon malsucedidas

• No cliente VMware® vSphere®, enquanto conectado ao VMware® vCenter Server®, clique em Events na seção de Gerenciamento.
• No campo Description, Type or Target contains, digite

      cannot login
      

Uma lista das últimas tentativas de login mal-sucedidas será exibida com os seguintes detalhes:

• O campo Descrição lista o nome de usuário e o endereço IP a partir do qual a conexão foi tentada.
• Se a tentativa de login falhada foi feita em um host VMware® ESX®/VMware® ESXi™, o campo Target lista o nome do host ESX/ESXi ou endereço IP. O campo Target estará em branco se a tentativa de login falhada foi para o vCenter Server.

Para relatar eventos dentro de um intervalo de datas específico

Nota: Este método não distingue entre tentativas de login falhadas em hosts ESX/ESXi e tentativas de login falhadas no vCenter Server.

• No vSphere Client, enquanto conectado ao vCenter Server, clique em File > Export > Export Events.
• Insira um nome de arquivo e localização.
• Desmarque as opções de Warning e Information Severity.
• Selecione um intervalo de data/hora.
• Clique em OK.
  Nota: Este processo pode levar algum tempo em ambientes grandes. Um indicador de progresso é exibido na parte inferior da tela de Exportação de Eventos.
• Abra o arquivo resultante em um editor de texto e procure por cannot login para encontrar tentativas de login mal-sucedidas.

Usando VMware® Power CLI

Este script de exemplo gera uma lista de tentativas de login falhadas em hosts ESX/ESXi geridos pelo vCenter Server entre 10/11/2019 e 13/11/2019:

      connect-viserver -server vCenter Server hostname

$hostevents = Get-VIEvent -start 10/11/2019 -finish 13/11/2019 -maxsamples 100000 | where-object {$_.Host.Name -notlike ""}

foreach ($event in $hostevents) {if ($event.fullFormattedMessage -match "Cannot login (.*)@(.*)") {Write-Host ("User " + $matches[1] + " failed to login to " + $event.Host.Name + " from " + $matches[2] + " at: " + $event.createdTime)} }
      

Exemplo de saída:

      User root failed to login vm01.enterprise.com from 192.168.1.66 at: 12/11/2019 15:51:25
User jmclaren failed to login vm01.enterprise.com from 192.168.1.66 at: 12/11/2019 17:02:51
      

Note que:

• Em ambientes grandes, o processamento pode levar algum tempo.
• Se suspeitar que nem todos os resultados estão sendo retornados, defina o parâmetro -maxsamples para um valor mais alto.
• Os eventos disponíveis dependem da sua política de retenção. Se a sua política de retenção estiver configurada para 10 dias, os dados sobre falhas de login de 20 dias atrás não estarão disponíveis.
• Você precisa ter permissões suficientes para exportar os eventos.