Búsqueda de sitios web

Id. de evento 4624: se inició sesión correctamente en una cuenta

El ID de evento 4624 se genera cuando un usuario inicia sesión exitosamente en la computadora. Este evento se escribió en la computadora donde se inició sesión con éxito o se creó una sesión.

Id. de evento 4624 el tipo de inicio de sesión especifica el tipo de sesión de inicio de sesión que se crea. Los tipos de inicio de sesión más utilizados para este evento son 2: inicio de sesión interactivo y 3: inicio de sesión de red.

Este evento registra la cuenta iniciada, ayuda a monitorear acciones en la computadora como anomalías o acciones maliciosas, intentos de inicio de sesión de cuentas no activas, cuentas externas y muchas más.

En este artículo, analizaremos los tipos de inicio de sesión con ID de evento 4624, información de campos de eventos y recomendaciones de monitoreo de seguridad.

ID de evento 4624 - Descripción

El código de evento 4624 proporciona información detallada sobre una cuenta, información de inicio de sesión, red e información de autenticación detallada.

Este evento se genera en controladores de dominio (DC), estaciones de trabajo y sistemas.

An account was successfully logged on.

Subject:
	Security ID:		SYSTEM
	Account Name:		Corp-EU-S17$
	Account Domain:		SHELLGEEK
	Logon ID:		0x4C5

Logon Information:
	Logon Type:		7
	Restricted Admin Mode:	-
	Virtual Account:	No
	Elevated Token:		No

Impersonation Level:		Impersonation

New Logon:
	Security ID:		SHELLGEEK\admin
	Account Name:		admin
	Account Domain:		SHELLGEEK
	Logon ID:		0xBC7D5C3C
	Linked Logon ID:	0x0
	Network Account Name:	-
	Network Account Domain:	-
	Logon GUID:		{00000000-0000-0000-0000-000000000000}

Process Information:
	Process ID:		0x438
	Process Name:		C:\Windows\System32\lsass.exe

Network Information:
	Workstation Name:	Corp-EU-S17
	Source Network Address:	-
	Source Port:		-

Detailed Authentication Information:
	Logon Process:		Negotiate
	Authentication Package:	Negotiate
	Transited Services:	-
	Package Name (NTLM only):-
	Key Length:		0

This event is generated when a logon session is created. It is generated on the computer that was accessed.

The subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.

The logon type field indicates the kind of logon that occurred. The most common types are 2 (interactive) and 3 (network).

The New Logon fields indicate the account for whom the new logon was created, i.e. the account that was logged on.

The network fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.

The impersonation level field indicates the extent to which a process in the logon session can impersonate.

The authentication information fields provide detailed information about this specific logon request.
	- Logon GUID is a unique identifier that can be used to correlate this event with a KDC event.
	- Transited services indicate which intermediate services have participated in this logon request.
	- Package name indicates which sub-protocol was used among the NTLM protocols.
	- Key length indicates the length of the generated session key. This will be 0 if no session key was requested.

Descripción de campos:

Asunto:

  • ID de seguridad:SID de una cuenta
  • Nombre de cuenta: Especifica el nombre de la cuenta.
  • Dominio de la cuenta: Dominio de la computadora o nombre de dominio del sujeto.
  • ID de inicio de sesión: número hexadecimal que le ayuda a correlacionar este ID de evento 4624 con un evento reciente que podría contener el mismo ID de inicio de sesión. Por ej. Id. de evento 4634: "Se cerró la sesión de una cuenta"

Información de inicio de sesión

  • Tipo de inicio de sesión: Proporciona un valor entero que proporciona información sobre el tipo de inicio de sesión ocurrido en la computadora.
  • Modo de administración restringido: Proporciona valor si se produjeron sesiones de tipo de inicio de sesión interactivo remoto. Contiene el valor del indicador Sí/No que indica si las credenciales utilizadas durante la sesión rdp utilizan el modo de administración restringido. Si no es un inicio de sesión remoto interactivo, este campo mostrará la cadena "-".
  • Cuenta virtual:Proporciona un valor de marca Sí o No que indica si la cuenta es una cuenta virtual.
  • Token elevado: Proporciona un valor de indicador de Sí o No. Si tiene el valor Sí, significa que la sesión de inicio de sesión creada es elevada y tiene privilegios de administrador.

Nivel de suplantación

El nivel de suplantación puede tener uno de estos valores.

  • SeguridadAnónimo: se muestra como una cadena vacía. El proceso del servidor no puede objetar información de identificación sobre el cliente y no puede suplantar al cliente.
  • Identificación de seguridad: se muestra como “Identificación“. El proceso del servidor puede obtener información sobre el cliente, pero no puede hacerse pasar por él.
  • SecurityImpersonation: se muestra como “Suplantación“. El proceso del servidor puede hacerse pasar por la información del cliente. Este es el tipo más común.
  • SecurityDelegation: se muestra como “Delegación“. El proceso del servidor puede hacerse pasar por la información del cliente en un sistema remoto.

Nuevo inicio de sesión

  • ID de seguridad: SID de una cuenta para la que se produjo el inicio de sesión.
  • Nombre de cuenta: el nombre de la cuenta para la que se produjo el inicio de sesión.
  • Dominio de la cuenta: el nombre de dominio de la computadora o el nombre de dominio del sujeto.
  • ID de inicio de sesión: valor hexadecimal que le ayuda a correlacionar los eventos recientes que pueden contener el mismo ID de inicio de sesión.
  • ID de inicio de sesión vinculado: valor hexadecimal de la sesión emparejada.
  • Nombre de la cuenta de red: proporciona el dominio para el usuario y el valor para el tipo de inicio de sesión NewCredentials. Principalmente su valor es "-".
  • GUID de inicio de sesión: Proporciona un GUID que puede ayudarle a correlacionar este ID de evento 4624 con otro evento que podría contener el mismo GUID de inicio de sesión.

Información del proceso

  • ID del proceso: ID del proceso que intentó iniciar sesión.
  • Nombre del proceso: Ruta completa y nombre del ejecutable del proceso.

Información de red

  • Nombre de la estación de trabajo: nombre de la computadora desde la cual se intentó iniciar sesión.
  • Dirección de red de origen:dirección IP de la máquina desde la que se intentó iniciar sesión.
  • Puerto de origen: puerto de origen de la máquina desde la que se intentó iniciar sesión.

Información de autenticación detallada:

  • Proceso de inicio de sesión: Especifica el proceso de inicio de sesión confiable que se utilizó para iniciar sesión.
  • Paquete de autenticación: Especifica el nombre del paquete de autenticación que se utilizó para el proceso de autenticación de inicio de sesión.
  • Servicios transitados:La lista de servicios transmitidos.
  • Nombre del paquete: el nombre del subpaquete del administrador de LAN que se utilizó durante el inicio de sesión.
  • Longitud de la clave: la longitud de la clave de seguridad de la sesión NTLM.

Consejo interesante: ¡Cómo manipular los indicadores UserAccountControl de Active Directory en PowerShell!

Tipos de inicio de sesión con ID de evento 4624

El tipo de inicio de sesión es de tipo Int32. Especifica el tipo de inicio de sesión que se produjo.

Consulte la lista de tipos de inicio de sesión con código de evento 4624 con el título de inicio de sesión y su descripción.

Logon TypeLogon TitleDescription
0SystemUsed only by the System account, for example at system startup.
2InteractiveA user logged on to this computer.
3NetworkA user or computer logged on to this computer from the network.
4BatchBatch logon type is used by batch servers, where processes may be executing on behalf of a user without their direct intervention.
5ServiceA service was started by the Service Control Manager.
7UnlockThis workstation was unlocked.
8NetworkCleartextA user logged on to this computer from the network. The user’s password was passed to the authentication package in its unhashed form. The built-in authentication packages all hash credentials before sending them across the network. The credentials do not traverse the network in plaintext (also called cleartext).
9NewCredentialsA caller cloned its current token and specified new credentials for outbound connections. The new logon session has the same local identity, but uses different credentials for other network connections.
10RemoteInteractiveA user logged on to this computer remotely using Terminal Services or Remote Desktop.
11CachedInteractiveA user logged on to this computer with network credentials that were stored locally on the computer. The domain controller was not contacted to verify the credentials.
12CachedRemoteInteractiveSame as RemoteInteractive. This is used for internal auditing.
13CachedUnlockWorkstation logon.

Obtenga el registro de eventos para el ID de evento 4624 usando PowerShell

Puede recuperar los registros de eventos para el ID de evento 4624 utilizando cmdlets de PowerShell como Get-EventLog o Get-WinEvent.

Intentemos obtener el registro de eventos con el identificador de evento 4624 usando el cmdlet Get-EventLog en PowerShell.

$Date = [DateTime]::Now.AddDays(-1) 
Get-EventLog -LogName "Security" -After $Date | Where -FilterScript {$_.EventID -eq 4624}

En el guión anterior,

Get-EventLog obtiene los registros de ID de evento 4624 para una fecha utilizando la variable $Date.

Utiliza el parámetro LogName para especificar el nombre de registro como Seguridad para este evento y el ID del evento es igual a 4624.

El resultado del Get-EventLog anterior para obtener este registro de identificación de evento es

 Index Time          EntryType   Source                 InstanceID Message
   ----- ----          ---------   ------                 ---------- -------
20033758 Jan 26 22:04  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....
20033006 Jan 26 21:49  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....
20032288 Jan 26 21:34  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....
20031576 Jan 26 21:19  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....
20031572 Jan 26 21:19  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....
20031303 Jan 26 21:14  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....

También puede obtener registros de eventos para el código de evento 4624 utilizando el cmdlet Get-WinEvent en PowerShell.

Get-WinEvent -FilterHashtable @{LogName = 'Security'; ID = 4624} -MaxEvents 10

En el script de PowerShell anterior,

Get-WinEvent obtiene el registro de eventos para el ID de evento 4624.

Utiliza el parámetro FilterHashtable y LogName como seguridad para obtener estos eventos.

El resultado del comando anterior es:

   ProviderName: Microsoft-Windows-Security-Auditing

TimeCreated                     Id LevelDisplayName Message
-----------                     -- ---------------- -------
26-01-2022 22:04:21           4624 Information      An account was successfully logged on....
26-01-2022 21:49:21           4624 Information      An account was successfully logged on....
26-01-2022 21:34:21           4624 Information      An account was successfully logged on....
26-01-2022 21:19:57           4624 Information      An account was successfully logged on....
26-01-2022 21:19:54           4624 Information      An account was successfully logged on....
26-01-2022 21:14:27           4624 Information      An account was successfully logged on....
26-01-2022 21:07:51           4624 Information      An account was successfully logged on....
26-01-2022 20:50:07           4624 Information      An account was successfully logged on....
26-01-2022 20:45:50           4624 Information      An account was successfully logged on....
26-01-2022 20:36:21           4624 Information      An account was successfully logged on....

Id. de evento de seguridad de ventana 4624: ejemplos

Código de evento 4624 tipo de inicio de sesión 5: servicio iniciado por SCM

El ID de evento 4624 tipo de inicio de sesión 5 registra el mensaje cuando el Administrador de control de servicios (SCM) inició el servicio.

An account was successfully logged on.

Subject:
	Security ID:		SYSTEM
	Account Name:		Corp-EU-S17$
	Account Domain:		SHELLGEEK
	Logon ID:		0x3E7

Logon Information:
	Logon Type:		5
	Restricted Admin Mode:	-
	Virtual Account:	No
	Elevated Token:		Yes

Impersonation Level:		Impersonation

New Logon:
	Security ID:		SYSTEM
	Account Name:		SYSTEM
	Account Domain:		NT AUTHORITY
	Logon ID:		0x3E7
	Linked Logon ID:		0x0
	Network Account Name:	-
	Network Account Domain:	-
	Logon GUID:		{00000000-0000-0000-0000-000000000000}

Process Information:
	Process ID:		0x41c
	Process Name:		C:\Windows\System32\services.exe

Network Information:
	Workstation Name:	-
	Source Network Address:	-
	Source Port:		-

Detailed Authentication Information:
	Logon Process:		Advapi  
	Authentication Package:	Negotiate
	Transited Services:	-
	Package Name (NTLM only):	-
	Key Length:		0

This event is generated when a logon session is created. It is generated on the computer that was accessed.

The subject fields indicate the account on the local system which requested the logon. This is most commonly a service such as the Server service, or a local process such as Winlogon.exe or Services.exe.

The logon type field indicates the kind of logon that occurred. The most common types are 2 (interactive) and 3 (network).

The New Logon fields indicate the account for whom the new logon was created, i.e. the account that was logged on.

The network fields indicate where a remote logon request originated. Workstation name is not always available and may be left blank in some cases.

The impersonation level field indicates the extent to which a process in the logon session can impersonate.

The authentication information fields provide detailed information about this specific logon request.
	- Logon GUID is a unique identifier that can be used to correlate this event with a KDC event.
	- Transited services indicate which intermediate services have participated in this logon request.
	- Package name indicates which sub-protocol was used among the NTLM protocols.
	- Key length indicates the length of the generated session key. This will be 0 if no session key was requested.

El ID de evento 4624 muestra el nombre del proceso de inicio de sesión como Advapi que se utilizó para iniciar sesión.

Conclusión

Espero que el artículo anterior sobre Id. de evento 4624 le resulte útil.

Este evento le ayuda a monitorear el tipo de actividad de inicio de sesión de la cuenta en el sistema informático.

Con el código de evento 4624, puede monitorear cuentas de alto valor, anomalías o acciones maliciosas en la computadora usando Nuevo inicio de sesión \ID de seguridad para monitorear cómo y cuándo se usa una cuenta en particular.

Consejo interesante: Id. de evento 4771: ¡falló la autenticación previa de Kerberos!

Puede encontrar más temas sobre los comandos de PowerShell Active Directory y los conceptos básicos de PowerShell en la página de inicio de ShellGeek.

Puede leer más sobre otros registros de eventos del sistema y de seguridad de Windows como se indica:

  • ID de evento 4625 0xc000006a: la cuenta no pudo iniciar sesión
  • Id. de evento 4634: se cerró la sesión de una cuenta
  • Código de error 0xc0000234 - Id. de evento 4776 - Solución
  • Id. de evento 4670: reinicio o apagado del sistema

Artículos relacionados