Высокая сетевая активность lsass.exe: причины и диагностика

Высокая сетевая активность процесса lsass.exe в Windows Server 2019 чаще всего вызвана атаками отражения CLDAP, уязвимостями в протоколе LDAP или проблемами с аудитом безопасности. Аномальный трафик в 447 ГБ за нерабочий день указывает на наличие целевой атаки или конфигурационной ошибки в настройках сетевого доступа сервера.

Содержание

• Основные причины высокой сетевой активности lsass.exe
• Диагностика проблемы
• Методы устранения
• Предотвращение будущих инцидентов
• Инструменты мониторинга

Основные причины высокой сетевой активности lsass.exe

Атака отражения CLDAP является наиболее распространенной причиной аномального сетевого трафика от lsass.exe. Злоумышленники отправляют специально созданные запросы CLDAP (Connectionless Lightweight Directory Access Protocol) на открытый UDP‑порт 389 вашего сервера, заставляя его отправлять ответные пакеты значительно большего размера. Это создает эффект усиления трафика, когда один запрос генерирует множество ответов.

Важно: Если у вашего сервера есть публичный IP‑адрес и открытый порт 389 UDP, он становится идеальной мишенью для таких атак. Исследования показывают, что одна атака CLDAP может генерировать трафик, превосходящий запросы в 30‑50 раз.

Другими возможными причинами являются:

• Неправильная настройка аудита безопасности: Избыточные политики аудита могут вызывать постоянную генерацию логов и сетевой активности
• Утечка памяти в Kerberos: После обновлений Windows (особенно март 2024) в компоненте Kerberos могут возникать утечки памяти, приводящие к повышенной сетевой активности
• Нормальная работа контроллера домена: На контроллерах домена lsass.exe обрабатывает аутентификацию и запросы Active Directory, и высокий трафик может быть нормой для больших сред

Диагностика проблемы

Для точной диагностики необходимо выполнить следующие шаги:

1. Проверка сетевой активности через Performance Monitor

Откройте Performance Monitor и добавьте счетчик для lsass.exe:

• Нажмите Performance Monitor → Counter Set → Process → Network Activity
• Выберите процесс lsass.exe и добавьте счетчики Bytes Sent/sec и Bytes Received/sec

Совет: Если вы видите постоянную высокую отправку данных (outbound traffic), это подтверждает сценарий атаки отражения.

2. Анализ сетевых пакетов

Используйте Wireshark или другой анализатор трафика для захвата пакетов на интерфейсе сервера:

wireshark -i <interface_name> -f "port 389"

Ищите следующие признаки:

• Множественные запросы CLDAP от одного источника
• Ответы CLDAP с аномально большими размерами
• Запросы с поддельными или случайными IP‑адресами в поле referrals

3. Проверка аудит‑политик

Запустите в командной строке от имени администратора:

auditpol.exe /get /category:*

Проверьте, не включены ли избыточные политики аудита для событий безопасности, которые могут вызывать постоянную генерацию данных.

4. Анализ процессов Process Explorer

Используйте Process Explorer для анализа стека вызовов lsass.exe:

• Найдите процесс lsass.exe в списке
• Щелкните правой кнопкой → Properties → Threads
• Посмотрите, какие модули (особенно SChannel) активно используются

Примечание: Если основная активность приходится на модуль SChannel, это указывает на проблемы с TLS/SSL‑аутентификацией.

Методы устранения

Немедленные действия

1. Блокировка порта 389 UDP на внешнем интерфейсе

   • Откройте Windows Firewall с расширенной безопасностью
   • Создайте правило для блокировки входящего трафика UDP на порт 389
   • Разрешите трафик только доверенным внутренним источникам

2. Ограничение доступа к CLDAP

   • Откройте редактор групповой политики: gpedit.msc
   • Перейдите: Конфигурация компьютера → Административные шаблоны → Система → Параметр безопасности
   • Включите политику: “Отключить анонимный доступ к протоколу LDAP”

Долгосрочные решения

1. Обновление системы

   • Установите последние обновления безопасности, особенно связанные с уязвимостями LDAP
   • Проверьте наличие патчей для CVE‑2024‑49112 и связанных уязвимостей

2. Оптимизация аудита

   • Отключите ненужные политики аудита
   • Оставьте только критически важные события безопасности

3. Разграничение сетевого доступа

   • Настройте сетевые сегменты для изоляции контроллеров домена
   • Используйте брандмауэры на уровне приложений

Предотвращение будущих инцидентов

1. Регулярный мониторинг

Настройте ежедневный мониторинг сетевой активности lsass.exe:

# Скрипт для мониторинга отправляемых данных
Get-Counter "\Process(lsass)\Network Sent Bytes/sec" -SampleInterval 60 -MaxSamples 1440

2. Защита от атак отражения

• Внедрите механизмы ограничения скорости (rate limiting) на сетевых устройствах
• Используйте системы обнаружения и предотвращения вторжений (IDS/IPS)
• Настройте фильтрацию на уровне сети для блокировки подозрительных пакетов

3. Обучение персонала

Проведите обучение для системных администраторов:

• Распознавание признаков атак отражения
• Процедуры реагирования на инциденты безопасности
• Регулярная проверка конфигураций безопасности

Инструменты мониторинга

Рекомендуемые инструменты

Автоматизация мониторинга

Настройте автоматические оповещения при обнаружении аномалий:

# Пример скрипта для оповещения при высоком трафике
$threshold = 100MB # Порог в 100 МБ в секунду
while ($true) {
    $traffic = (Get-Counter "\Process(lsass)\Network Sent Bytes/sec").CounterSamples[0].CookedValue
    if ($traffic -gt $threshold) {
        Send-MailMessage -To "admin@company.com" -Subject "High LSASS traffic detected" -Body "Current traffic: $traffic bytes/sec"
    }
    Start-Sleep -Seconds 60
}

Заключение

Высокая сетевая активность lsass.exe в 447 ГБ за нерабочий день однозначно указывает на наличие серьезной проблемы, скорее всего связанной с атакой отражения CLDAP. Для устранения проблемы необходимо немедленно заблокировать порт 389 UDP на внешнем интерфейсе и провести полную диагностику с использованием Performance Monitor и Wireshark. Регулярный мониторинг и своевременное обновление системы помогут предотвратить повторение подобных инцидентов в будущем.

Источники

1. CLDAP Reflection Attack - High Resource Usage on lsass.exe on Windows Server
2. Troubleshoot high Lsass.exe CPU utilization - Windows Server | Microsoft Learn
3. LSASS.exe High memory usage - Windows server 2019 - Microsoft Q&A
4. THIS JUST IN!!! High LSASS Usage After Windows Update 3B March 2024 | Microsoft Community Hub
5. LDAPNightmare PoC Exploit Crashes LSASS and Reboots Windows Domain Controllers