Inicios de sesión: 4624, 4625, 4672 y tipos de logon

Casi todos los incidentes empiezan con una cuenta: una contraseña adivinada, una robada en otro sitio, una cuenta con privilegios que nadie debía tener. Por eso los primeros tres IDs que se aprende cualquier analista son los de inicio de sesión, y la primera semana en un SOC se pasa en buena parte mirándolos.

4624: inicio de sesión correcto

Se escribe cada vez que una cuenta entra al equipo: una persona, un servicio o el propio sistema. Es el evento más abundante del registro Security, y solo no dice nada malo. Lo que importa son sus campos: quién entró, desde qué IP, con qué tipo de inicio de sesión y a qué hora.

4625: inicio de sesión fallido

Una contraseña mal escrita produce un 4625, y eso le pasa a cualquiera los lunes. Lo sospechoso es el patrón: decenas de fallos en minutos, muchos usuarios distintos desde una misma IP, o fallos seguidos de un 4624 exitoso. Los campos Status y SubStatus dicen el motivo:

0xC000006A  Contraseña incorrecta para un usuario que existe
0xC0000064  El usuario no existe
0xC0000234  La cuenta está bloqueada
0xC0000072  La cuenta está deshabilitada

Muchos 0xC0000064 desde una IP: alguien prueba nombres de usuario al azar (admin, administrador, contabilidad). Muchos 0xC000006A contra una cuenta real: alguien ya sabe el usuario y está probando contraseñas. La segunda situación es más grave, porque el atacante ya sabe a quién apuntar.

4672: privilegios especiales asignados

Aparece justo después de un 4624 cuando la cuenta que entró tiene privilegios de administrador, como depurar programas o tomar posesión de archivos. Para SYSTEM y para los administradores que trabajan en el servidor es normal, y lo va a ver cientos de veces al día. Se vuelve alerta cuando aparece para una cuenta que no debería ser administradora, o para un administrador a las tres de la mañana desde una IP que nadie reconoce.

Los tipos de inicio de sesión

El campo LogonType, en el 4624 y en el 4625, dice cómo entró la cuenta:

Un tipo 10 desde una IP pública hacia un servidor que no debería exponer RDP se escala sin pensarlo dos veces. Un tipo 3 de una cuenta de servicio hacia su servidor de siempre es ruido de fondo. Con el tiempo, la tabla se vuelve automática; al principio, téngala impresa al lado del monitor.

Un detalle que confunde a todo el mundo: con autenticación a nivel de red (NLA) activada, los intentos fallidos de RDP suelen aparecer como tipo 3, no 10, porque la contraseña se valida antes de abrir la sesión. Lo verá en el laboratorio.