Encuentre intentos de contraseña incorrectos en Active Directory

En esta guía, le mostraré cómo encontrar usuarios con intentos incorrectos de contraseña en Active Directory.

Razones para comprobar si hay intentos de contraseña incorrectos en Active Directory:

• Identifique intentos de pulverización de contraseñas o ataques de fuerza bruta a cuentas de usuarios.
• Solución de problemas y resolución de problemas de bloqueo de cuentas de usuario.
• Genere informes de Active Directory para auditoría y evaluación de seguridad.

Cuando una cuenta de usuario de AD intenta autenticarse con una contraseña incorrecta, almacena la hora en el atributo badPasswordTime. También aumenta el valor del atributo badPwdCount. Puede ver estos valores haciendo clic en el Editor de atributos.

Los empleados ingresan sus contraseñas incorrectamente todo el tiempo, esto no es motivo de preocupación. Pero es preocupante ver una gran cantidad de empleados con intentos incorrectos de contraseña en un corto período de tiempo. Esto podría significar que un pirata informático está utilizando un ataque de fuerza bruta para intentar adivinar las contraseñas de los usuarios. Es fundamental que tenga configuradas una política de contraseñas y una política de bloqueo de cuentas adecuadas para mitigar los ataques de fuerza bruta.

Ahora veamos algunas formas de ver y automatizar la búsqueda de intentos de contraseña incorrectos en su red.

Verifique los intentos de contraseña incorrecta usando PowerShell

Utilice el siguiente comando para obtener el último intento de contraseña incorrecto y el valor del recuento de contraseñas incorrectas mediante PowerShell.

get-aduser -Identity robert.allen -Properties * | select name, badPwdCount, LastBadPasswordAttempt

En la captura de pantalla anterior, puede ver que la cuenta robert.allen tiene 3 por recuento de contraseñas incorrectas y el último intento de contraseña incorrecta fue el 7/3/2023 a las 9:51 a.m.

Para obtener todos los últimos intentos incorrectos de contraseña del usuario utilice el siguiente comando.

get-aduser -filter * -Properties * | select name, badPwdCount, LastBadPasswordAttempt

Verifique si hay intentos de contraseña incorrecta en el último día

AD Pro Toolkit tiene varios informes de estado de contraseña integrados. Puede obtener un informe de intentos de contraseña incorrecta en los últimos 1, 7 o 30 días.

Puedes descargar una prueba gratuita aquí.

Haga clic en Informes -> Estado de la contraseña -> Intentos de contraseña incorrectos en el último día

En la captura de pantalla anterior, puede ver que hay cinco cuentas que tuvieron intentos incorrectos de contraseña en el último día.

Puedo incluir el recuento de contraseñas incorrectas haciendo clic en las columnas y agregando el atributo badPwdCount.

Ahora, cuando vuelva a ejecutar el informe, incluirá el recuento de contraseñas incorrectas.

Este informe puede resultar muy útil para realizar auditorías en busca de actividades sospechosas de intentos de inicio de sesión.

Si ve una gran cantidad de usuarios con intentos incorrectos de contraseña y con un badPwdCount cada vez mayor, esto debe investigarse.

Automatizar el informe de intentos de contraseña incorrecta

Comprobar manualmente si hay intentos de contraseña incorrectos a diario es ineficaz. Es mejor automatizar este informe en caso de que lo olvides y también te ahorrará tiempo.

Para automatizar este informe, puede utilizar el programador de tareas para recibir un informe diario, semanal o mensual por correo electrónico.

Haga clic en Programador y luego haga clic en el botón Agregar.

Seleccionar informes

Introduzca un nombre de tarea. Por ejemplo, intentos de contraseña incorrecta.

Para obtener las credenciales, haga clic en Establecer e ingrese los detalles de su cuenta.

Haga clic en Siguiente.

Establece el horario. Elija entre Diario, Semanal o Mensual.

En este ejemplo, lo configuré para que se ejecute todos los días a las 7:00 a.m.

En la última pantalla de la categoría, seleccione Usuario -> Estado de contraseña

Luego seleccione el informe que desea automatizar. En este ejemplo, seleccionaré "Intentos de contraseña incorrectos en el último día".

A continuación, elige el camino. Puede elegir entre todo el dominio o seleccionar una unidad organizativa o un grupo.

Para el resultado, ingrese un asunto de correo electrónico.

Haga clic en Finalizar.

Eso completa los pasos para crear un informe automatizado. Ahora recibirá un correo electrónico según el programa que seleccionó que incluye un informe CSV.

En este artículo, te mostré dos opciones para buscar usuarios con intentos incorrectos de contraseña. La hora de la contraseña incorrecta se almacena en un atributo de Active Directory cuando un usuario ingresa su contraseña incorrectamente. Puede obtener fácilmente el tiempo de la contraseña incorrecta y contarla utilizando PowerShell. También le mostré cómo automatizar el informe de contraseñas incorrectas utilizando AD Pro Toolkit. El kit de herramientas incluye más de 200 informes AD integrados para usuarios, computadoras, grupos y políticas de grupo. Haga clic en el botón a continuación para descargar una prueba gratuita de AD Pro Toolkit.