우리 네트워크에 "유령"이 있다는 조언이 필요합니다

저는 우리 회사의 시스템 관리자 역할을 하는 일종의 만능 재주꾼임을 처음으로 인정합니다. 4월 20일부터 외부인지 내부인지 잘 모르겠지만 어떤 것이 우리 네트워크에 침입했어요. 그리고 그게 Slowly 우리의 Active Directory의 사용자들을 대상으로 로그인 시도하고 있습니다. 시도하는 것들을 볼 수 있는데, "행위자"는 단지 "서버"라는 호스트 이름입니다. ping도 못하고, IP 주소도 볼 수 없으며, DNS나 DHCP에도 나타나지 않습니다. 이 상황을 간신히 버티고 있는데, 행위자를 찾기 위한 조언을 구합니다.

단서로는, 특정 무작위 계정을 반복해서 공격하는 패턴밖에 없습니다. 보통 12-15번 시도 후 계정이 잠기고, 20-30분 후 다시 시도하는 식입니다.

도와주세요?

외부에 호스팅된 것이 있나요? 계정이 사용하는 이름이 실제 AD 사용자 이름이 아닌 것들이 있나요?

최근 비슷한 경험을 한 적이 있는데, 관리자, 회계사, 접수원, Michael, Sarah와 같이 존재하지 않는 계정으로 로그인 시도가 많았어요. 이 시도들은 VPN의 비밀번호 스프레이 공격과 RADIUS 인증을 통해 내부에서 발생한 것 같았습니다.