Background Intelligent Transfer Service

skydrivesync.policies.live.net



Von einem Prozess im Benutzermodus wurde versucht, den Systemstatus durch den Aufruf der SetSuspendState- oder SetSystemPowerState-API zu ändern.

Reaktivierungsquelle: Zeitgeber - Windows will execute 'NT TASK\Microsoft\Windows\UpdateOrchestrator\Reboot_AC' scheduled task that requested waking the computer.

May 20 03:30:59 {ServerName} sshd[13704]: Accepted password for {UserName} from {MeineIP} port 64932 ssh2
May 20 03:30:59 {ServerName} sshd[13704]: pam_unix(sshd:session): session opened for user {UserName} by (uid=0)







May 19 17:25:48 srv3.wecoma.ch sshd[8811]: Accepted password for wecoma from 51.154.57.240 port 53035 ssh2
May 19 17:29:34 srv3.wecoma.ch sshd[9253]: Accepted password for wecoma from 51.154.57.240 port 56166 ssh2
May 19 22:28:53 srv3.wecoma.ch sshd[27026]: Accepted password for wecoma from 51.154.57.240 port 49742 ssh2
May 19 23:29:23 srv3.wecoma.ch sshd[30268]: Accepted password for wecoma from 51.154.57.240 port 56726 ssh2

May 20 01:29:58 srv3.wecoma.ch sshd[6095]: Accepted password for wecoma from 51.154.57.240 port 52153 ssh2
May 20 02:30:29 srv3.wecoma.ch sshd[9732]: Accepted password for wecoma from 51.154.57.240 port 64351 ssh2
May 20 03:30:59 srv3.wecoma.ch sshd[13704]: Accepted password for wecoma from 51.154.57.240 port 64932 ssh2

May 20 09:33:02 srv3.wecoma.ch sshd[3307]: Accepted password for wecoma from 51.154.57.240 port 50294 ssh2
May 20 10:27:21 srv3.wecoma.ch sshd[7114]: Accepted password for wecoma from 51.154.57.240 port 50697 ssh2
May 20 11:30:22 srv3.wecoma.ch sshd[10918]: Accepted password for wecoma from 51.154.57.240 port 51219 ssh2

May 20 12:15:26 srv3.wecoma.ch sshd[13606]: Accepted password for wecoma from 51.154.57.240 port 51876 ssh2
May 20 12:16:04 srv3.wecoma.ch sshd[13731]: Accepted password for wecoma from 51.154.57.240 port 51878 ssh2
May 20 12:16:37 srv3.wecoma.ch sshd[13826]: Accepted password for wecoma from 51.154.57.240 port 51890 ssh2
May 20 12:24:20 srv3.wecoma.ch sshd[14350]: Accepted password for wecoma from 51.154.57.240 port 51939 ssh2
May 20 12:25:58 srv3.wecoma.ch sshd[14506]: Accepted password for wecoma from 51.154.57.240 port 51945 ssh2



Refresh Optionen in WinSCP checken. So wie Germano geschrieben hat.

-----------------------------

/var/log
sshd log ansehen

wtemp file utemp file ansehen, wenn es die noch gibt

who und last bekommen von dort infos

ansehen ob dort bei den sessions ein tty bekommen. Das heisst, ob eine shell geöffnet wurde. Oder sonst z.B. "nur" FTP

etc/ssh.d config "burk?" (nicht ganz verstanden) level hochschalten. Dann sieht man mehr logs.



Germano leitet ein Team in einer Firma, welches für die Sicherheit der Firmeninfrastruktur verantwortlich ist.


Er würde nicht gerade roten Alarm schlagen.
Es ist durchaus denkbar, dass WinScp sich regelmässig wieder verbindet.

Beim Energiesparen (Suspend) besteht die Win Login Session sobald der Computer erwacht. Man ist dann schon eingeloggt, einfach mit Screenlog.


Novatrend anfragen, ob sie den Snapshot kontrollieren können. Oder was sonst möglich ist.
Microsoft Support anfragen.


Germano schickt mir noch einen Firmennamen, die einen Security Check machen könnten.


How to View SSH Logs?
https://www.strongdm.com/blog/view-ssh-logs
journalctl -u ssh --since -4d --until -3d

-----------------------------

Von WhatsApp


/var/log zum anschauen: auth.log (hast Du wahrscheinlich schon) wtmp (auszulesen mit zB last, um zu schauen ob terminal sessions zugewiesen wurden) oder lastb um die fehlgeschlagenen versuche anzuschauen. Mit last kannst Du unter Umstaenden auch sehen wann das Pattern angefangen hat. /etc/ssh/sshd_config um mehr Logging einzuschalten, falls es zu minimal ist im Moment.

Ansonsten, eine default install von der gleichen OS version machen, und mit diff --brief -r schauen was sich alles geaendert hat auf einem kuerzlichen Snapshot...

Das sind so meine Gedanken, um den Vorgaengen auf dem Server etwas nachzugehen...