AdSense Placeholder
Slot: header_reference_page
Windows registra la actividad relevante para la seguridad como eventos numerados en archivos .evtx de C:\Windows\System32\winevt\Logs\. Estos son los ID que los investigadores buscan primero. Cargue un registro exportado en el análisis forense de registros para agruparlos y filtrarlos en su navegador. Varios eventos solo aparecen si la directiva de auditoría correspondiente está activada.
Inicios de sesión y sesiones (registro de Seguridad)
| ID |
Significado |
Por qué importa |
4624 |
Una cuenta inició sesión correctamente |
Quién, desde dónde (IpAddress, WorkstationName) y cómo (tipo de inicio de sesión) |
4625 |
Una cuenta no pudo iniciar sesión |
Las ráfagas indican adivinación de contraseñas; lea los códigos de estado más abajo |
4634 |
Se cerró la sesión de una cuenta |
Emparéjelo con 4624 mediante TargetLogonId para obtener la duración |
4647 |
Cierre de sesión iniciado por el usuario |
Cierre interactivo hecho por el propio usuario |
4648 |
Se intentó un inicio de sesión con credenciales explícitas |
runas, unidades asignadas con otras credenciales, movimiento lateral |
4672 |
Privilegios especiales asignados al nuevo inicio de sesión |
Un inicio de sesión equivalente a administrador |
4740 |
Se bloqueó una cuenta de usuario |
Demasiados fallos; el evento indica el equipo que llamó |
4767 |
Se desbloqueó una cuenta de usuario |
|
4778 |
Se volvió a conectar una sesión a una estación de Windows |
Reconexión de RDP o cambio rápido de usuario |
4779 |
Se desconectó una sesión de una estación de Windows |
Desconexión de RDP |
Tipos de inicio de sesión (campo LogonType en 4624, 4625, 4634)
| Tipo |
Nombre |
Origen habitual |
2 |
Interactive |
Teclado en la consola |
3 |
Network |
Recurso compartido SMB, net use, muchas herramientas de administración remota |
4 |
Batch |
Tareas programadas |
5 |
Service |
Un servicio que arranca con una cuenta |
7 |
Unlock |
Desbloqueo de la estación |
8 |
NetworkCleartext |
Credenciales enviadas en claro, p. ej. autenticación básica de IIS |
9 |
NewCredentials |
runas /netonly |
10 |
RemoteInteractive |
Escritorio remoto (RDP) |
11 |
CachedInteractive |
Inicio con credenciales de dominio en caché, sin contactar con el controlador |
12 |
CachedRemoteInteractive |
RDP con credenciales en caché |
13 |
CachedUnlock |
Desbloqueo con credenciales en caché |
Por qué falló un inicio de sesión (Status / SubStatus de 4625)
| Código |
Significado |
Lectura |
0xC000006D |
Nombre de usuario o información de autenticación incorrectos |
Estado genérico; mire el SubStatus |
0xC0000064 |
El nombre de usuario no existe |
Muchos nombres distintos: enumeración de cuentas o spraying |
0xC000006A |
Nombre correcto, contraseña incorrecta |
Muchos intentos sobre un nombre: adivinación de contraseña |
0xC0000234 |
Cuenta bloqueada |
|
0xC0000072 |
Cuenta deshabilitada |
|
0xC0000193 |
Cuenta caducada |
|
0xC0000071 |
Contraseña caducada |
|
0xC0000224 |
Debe cambiar la contraseña en el próximo inicio |
|
0xC000006F |
Inicio fuera del horario permitido |
|
0xC0000070 |
Inicio desde una estación no autorizada |
|
0xC000015B |
Tipo de inicio de sesión no concedido a esta cuenta |
|
Cuentas y grupos (registro de Seguridad)
| ID |
Significado |
4720 |
Se creó una cuenta de usuario |
4722 |
Se habilitó una cuenta de usuario |
4723 |
Se intentó cambiar la contraseña de una cuenta |
4724 |
Se intentó restablecer la contraseña de una cuenta |
4725 |
Se deshabilitó una cuenta de usuario |
4726 |
Se eliminó una cuenta de usuario |
4738 |
Se modificó una cuenta de usuario |
4728 |
Se agregó un miembro a un grupo global con seguridad habilitada |
4732 |
Se agregó un miembro a un grupo local con seguridad habilitada (p. ej. Administradores) |
4756 |
Se agregó un miembro a un grupo universal con seguridad habilitada |
4768 |
Se solicitó un vale de autenticación Kerberos (TGT) |
4769 |
Se solicitó un vale de servicio Kerberos |
4771 |
Falló la autenticación previa de Kerberos |
4776 |
El equipo intentó validar las credenciales de una cuenta (NTLM) |
Procesos, servicios y tareas
| ID |
Registro |
Significado |
4688 |
Seguridad |
Se creó un proceso (la línea de comandos solo si está activada) |
4689 |
Seguridad |
Un proceso terminó |
4697 |
Seguridad |
Se instaló un servicio en el sistema |
4698 |
Seguridad |
Se creó una tarea programada |
4699 |
Seguridad |
Se eliminó una tarea programada |
4702 |
Seguridad |
Se actualizó una tarea programada |
7045 |
Sistema |
Se instaló un servicio nuevo (busque rutas raras, cmd /c, PowerShell codificado) |
7034 |
Sistema |
Un servicio terminó de forma inesperada |
7036 |
Sistema |
Un servicio pasó a ejecutándose o detenido |
7040 |
Sistema |
Cambió el tipo de inicio de un servicio |
106 |
TaskScheduler/Operational |
Se registró una tarea programada |
200 / 201 |
TaskScheduler/Operational |
Una acción de tarea empezó / terminó |
Cada instalación de servicio (7045) deja también una clave en SYSTEM\CurrentControlSet\Services; compare ambas con el análisis forense del Registro y con Chuleta de artefactos forenses del Registro de Windows.
Manipulación de registros y estado del sistema
| ID |
Registro |
Significado |
1102 |
Seguridad |
Se borró el registro de auditoría |
104 |
Sistema |
Se borró un registro de eventos |
4719 |
Seguridad |
Se cambió la directiva de auditoría del sistema |
6005 |
Sistema |
Se inició el servicio Registro de eventos (arranque) |
6006 |
Sistema |
Se detuvo el servicio Registro de eventos (apagado limpio) |
6008 |
Sistema |
El apagado anterior fue inesperado |
1074 |
Sistema |
Un proceso o usuario inició un apagado o reinicio |
PowerShell y acceso remoto
| ID |
Registro |
Significado |
4103 |
PowerShell/Operational |
Registro de módulos: detalles de ejecución de la canalización |
4104 |
PowerShell/Operational |
Registro de bloques de script: el texto real del script, decodificado |
400 / 403 |
Windows PowerShell |
El motor de PowerShell se inició / detuvo (muestra la aplicación host) |
1149 |
TerminalServices-RemoteConnectionManager/Operational |
Autenticación de usuario RDP correcta (IP de origen) |
21 |
TerminalServices-LocalSessionManager/Operational |
Inicio de sesión RDP correcto |
24 / 25 |
TerminalServices-LocalSessionManager/Operational |
Sesión RDP desconectada / reconectada |
5140 |
Seguridad |
Se accedió a un recurso compartido de red |
5145 |
Seguridad |
Se comprobó el acceso a un objeto de un recurso compartido (detallado) |
Patrones de lectura
- Spraying frente a adivinación. Muchos 4625 con
0xC0000064 sobre muchos nombres desde un mismo origen es spraying o enumeración; muchos 0xC000006A sobre un nombre es un ataque de fuerza bruta. Un 4624 desde ese origen justo después es el evento que importa.
- Inicio de sesión RDP. Busque 4624 de tipo
10 junto con 1149 y el 21 de LocalSessionManager; el tipo 3 solo suele ser uso compartido de archivos, no una sesión de escritorio.
- Persistencia. 7045 o 4697 (servicio nuevo), 4698 (tarea nueva) y 4720 + 4732 (cuenta nueva añadida a Administradores) son indicadores de compromiso clásicos.
- Huecos. Un 1102 o 104, o tramos de tiempo vacíos, significan que se eliminó parte de la historia; revise otros registros y el Registro para ese periodo.