Как отслеживать события аудита сбоя SQL Server?

Question

Недавно я взял на себя управление сервером Windows 2003. В журнале приложения заполняются сообщения:

Event Type: Failure Audit 
Event Source: MSSQLSERVER 
Event Category: (4) 
Event ID: 18456 
Date: 3/5/2010 
Time: 4:00:30 PM 
User: N/A 
Computer: FAIROAKS1 
Description: 
Login failed for user 'administrator'. [CLIENT: <local machine>] 
Data: 
0000: 18 48 00 00 0e 00 00 00 .H...... 
0008: 0a 00 00 00 46 00 41 00 ....F.A. 
0010: 49 00 52 00 4f 00 41 00 I.R.O.A. 
0018: 4b 00 53 00 31 00 00 00 K.S.1... 
0020: 07 00 00 00 6d 00 61 00 ....m.a. 
0028: 73 00 74 00 65 00 72 00 s.t.e.r. 
0030: 00 00      ..  

For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp. 

Я хотел бы выяснить, какая программа вызывает их. Есть ли способ отслеживать и выяснить, какой процесс вызывает эти ошибки?

Answer 1

Это связано с тем, что некоторая учетная запись не может войти в экземпляр SQL Server, установленный на этом сервере.

Сообщение, приведенное выше, означает, что существует логин SQL (не Windows Auth), называемый «администратор», который не настроен в sys.server_principals или неверный пароль.

Теперь, если вы запустите SQL-профайлер, вы сможете уловить попытку подключения, включая имя хоста и имя приложения. Audit Login Failed Event Class - хорошая отправная точка.

Потенциально, это серьезная проблема: это может быть атака неудачной попытки монитора. Но хорошо, что вы можете закрыть свой экземпляр SQL Server, и никто не замечает ... :-)