アタックされた際のプロトコルが分かりません。

これはサーバーの運用形態や利用方法、さらには運用環境自体の要件でどのポートをどのように塞ぐのか個別に検討が必要なので、ここで「はいこれです」と回答できない問題だと思います。

• Windows Server のセキュリティに関するドキュメント | Microsoft Learn

基本的には、外部（インターネット）からの着信接続が必要なポート以外はファイアウォールでブロックすることをお勧めします。

SMB 以外でも利用されている点は想定外でした。

運用上は SMB をローカルネットワークのみで利用する事しか想定していません。

SMB以外を効率的に停止させる方法がございますでしょうか?

NTLM は SMB だけでなく DCOM や Remote PowerShell などでも利用される可能性があるので、445/tcp をブロックしていたら NTML 認証のチャレンジが行われないわけではないと思います。

イベントログでは追えない情報なので、ファイアウォール ログなどを（必要であれば詳細情報を記録するようにして）確認されると良いでしょう。

参考：サービス概要およびネットワーク ポート要件 - Windows Server | Microsoft Learn

弊社ではユーザーの皆様を支援するために翻訳サービスを利用しています。文法上の誤りについてはご容赦ください。

こんにちは。私は Ravish です。サーバーのセキュリティに関する懸念を解決するために独立した Windows アドバイザーとして働いています。

共有していただいたログから、誰かが Windows Server 2019 へのログインをブルートフォース攻撃で試みたようです。これを分析して、潜在的なリスクに対処してみましょう。

ログの分析
ログオン タイプ 3: 通常は共有ファイルまたはネットワーク リソースへのアクセスに関連するネットワーク ログオンの試行を示します。
NTLM 認証 (ログオン プロセス: NtLmSsp): ポート 445 経由の SMB プロトコルの使用を提案します。
送信元 IP (176.101.126.145): 認証を試みている外部エンティティを示します。

サーバーを安全に保つための手順

1. 外部 SMB トラフィックをブロックする (強く推奨)
   ファイアウォール ルールを確認して、SMB (ポート 445/tcp) トラフィックが WAN 経由でアクセスできないことを確認します。

セキュリティが強化された Windows Defender ファイアウォールに移動します。
すべての外部 IP からの接続に対してポート 445 をブロックする受信ルールを作成します。

2. ネットワークレベル認証（NLA）を有効にする
   安全で認証された接続のみが許可されていることを確認します。

[システムのプロパティ] > [リモート設定] を開きます。
[リモート デスクトップ] で、[NLA を実行しているコンピューターからの接続のみを許可する] をオンにします。

3. 悪意のあるIPを監視およびブロックする
   IP ジオロケーション ツールなどのサービスを使用して、悪意のある IP を特定します。
   ファイアウォール レベルで特定の IP 範囲を手動でブロックします。
4. リモートユーザー向けのVPNアクセスを検討する
   SMB を WAN に直接公開するのは危険です。ローカル ユーザーへのアクセスを制限するか、安全な接続のために VPN を使用してください。

さらにサポートが必要な場合はお知らせください。

IISを利用されていると思うので、この中のログ情報で確認できないでしょうか。

C:\inetpub\logs\LogFiles