Id. de evento 4634: se cerró la sesión de una cuenta
El evento con ID de evento 4634 se genera cuando se finaliza o se destruye una sesión de inicio de sesión. La sesión ya no existe.
Cuando el usuario inició el procedimiento de cierre de sesión, verá los ID de evento 4647 y 4634.
La principal diferencia entre Id. de evento 4647 y 4634 es que el Id. de evento 4647 se genera cuando un usuario inicia el procedimiento de cierre de sesión utilizando la función de cierre de sesión, y el Id. de evento 4634 se genera cuando finaliza una sesión de inicio de sesión y no ya no existe.
Id. de evento 4634 puede tener una correlación positiva con Id. de evento 4624: una cuenta inició sesión correctamente”. Evento que utiliza el valor de ID de inicio de sesión.
Id. de evento 4634 tipo de inicio de sesión 2 significa inicio de sesión del usuario en esta computadora.
En este artículo, analizaremos el ID del evento 4634, información sobre el ID del evento 4634, la sesión de escritorio remoto (RDP) del ID del evento 4634 terminada y los tipos de inicio de sesión del ID del evento 4634 como 2,3,5,7 y 10.
ID de evento 4634 Información
Entendamos el evento ID 4634 en detalle con sus campos.
Formato XML del identificador de evento 4634
- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
<Provider Name="Microsoft-Windows-Security-Auditing" Guid="{62736363-7623-8273-B5CA-2E3C0352D30E}" />
<EventID>4634</EventID>
<Version>0</Version>
<Level>0</Level>
<Task>14339</Task>
<Opcode>0</Opcode>
<Keywords>0x8010000000000000</Keywords>
<TimeCreated SystemTime="2022-01-22T18:10:21.495462300Z" />
<EventRecordID>16708</EventRecordID>
<Correlation />
<Execution ProcessID="520" ThreadID="1084" />
<Channel>Security</Channel>
<Computer>DC01.ShellGeek.local</Computer>
<Security />
</System>
- <EventData>
<Data Name="TargetUserName">admin</Data>
<Data Name="TargetUserSid">S-1-4-21</Data>
<Data Name="TargetDomainName">SHELLGEEK</Data>
<Data Name="TargetLogonId">0xd34ccae7</Data>
<Data Name="LogonType">2</Data>
</EventData>
</Event>Consejo interesante: ¡Cómo convertir un archivo XML a CSV en PowerShell!
Descripción de campos:
Información del asunto
- Id. de seguridad: ID de seguridad de una cuenta en la que se cerró la sesión.
- Nombre de cuenta: el nombre de la cuenta que se cerró.
- Dominio de la cuenta: Nombre de dominio
- ID de inicio de sesión: Es de tipo HexInt64. Contiene el valor hexadecimal que puede utilizar para correlacionar el ID de evento 4634 con un evento reciente que puede contener el mismo ID de inicio de sesión. Por ejemplo, Id. de evento 4624: “Se inició sesión correctamente en una cuenta. "
- LogonType: Contiene un valor de tipo UInt32 para representar el tipo de inicio de sesión que se utilizó.
Consejo interesante: Id. de evento 4771: ¡falló la autenticación previa de Kerberos!
La tabla Tipo de inicio de sesión muestra todos los valores posibles para este campo.
| Logon Type | Logon Title | Description |
|---|---|---|
| 2 | Interactive | A user logged on to this computer. |
| 3 | Network | A user or computer logged on to this computer from the network. |
| 4 | Batch | Batch logon type is used by batch servers, where processes may be executing on behalf of a user without their direct intervention. |
| 5 | Service | A service was started by the Service Control Manager. |
| 7 | Unlock | This workstation was unlocked. |
| 8 | NetworkCleartext | A user logged on to this computer from the network. The user’s password was passed to the authentication package in its unhashed form. The built-in authentication packages all hash credentials before sending them across the network. The credentials do not traverse the network in plaintext (also called cleartext). |
| 9 | NewCredentials | A caller cloned its current token and specified new credentials for outbound connections. The new logon session has the same local identity but uses different credentials for other network connections. |
| 10 | RemoteInteractive | A user logged on to this computer remotely using Terminal Services or Remote Desktop. |
| 11 | CachedInteractive | A user logged on to this computer with network credentials that were stored locally on the computer. The domain controller was not contacted to verify the credentials. |
Consejo interesante: Id. de evento 4776 Código 0xc0000234 - ¡Corrección para encontrar la fuente del intento!
Id. de evento 4634 tipo de inicio de sesión 7
Cuando el usuario desbloquea la estación de trabajo previamente bloqueada, registra el evento id. 4634 tipo de inicio de sesión 7.
Cuando el usuario desbloquea la estación de trabajo previamente bloqueada, registra el evento identificador de evento 4634 tipo de inicio de sesión 7.
Consejo interesante: ¡Cómo manipular los indicadores UserAccountControl de Active Directory en PowerShell!
Id. de evento 4634 tipo de inicio de sesión 3
Id. de evento 4634 tipo de inicio de sesión 3 significa que el usuario o la computadora inició sesión en esta computadora desde la red.
El usuario o la computadora accede a la computadora desde la red o intenta acceder a recursos compartidos en la computadora, registra el evento id. de evento 4634 tipo de inicio de sesión 3.
Consejo interesante: ID de evento 4625 Código de estado 0xc000006a - ¡Corrección para encontrar la fuente del intento!
Conclusión
Espero que el artículo anterior sobre Id. de evento 4634: “Se cerró la sesión de una cuenta” le resulte útil.
El ID de evento 4634 le ayuda a monitorear los eventos relacionados con intentos de inicio de sesión, cierres de sesión y actividades de escritorio remoto desde la red.
Consejo interesante: Id. de evento 4670: ¡se cambiaron los permisos de un objeto!
Los diferentes tipos de tipo de inicio de sesión con ID de evento 4634, como tipo de inicio de sesión 2, tipo de inicio de sesión 3, tipo de inicio de sesión 7, tipo de inicio de sesión 10, proporcionan una descripción detallada sobre el evento.
Este artículo utiliza tipos de inicio de sesión según el artículo oficial de Microsoft KB. Consulte para obtener más detalles sobre estos tipos de inicio de sesión.
Puede encontrar más temas sobre los comandos de PowerShell Active Directory y los conceptos básicos de PowerShell en la página de inicio de ShellGeek.
Puede leer más sobre otros registros de eventos del sistema y de seguridad de Windows como se indica:
- Id. de evento 4670: reinicio o apagado del sistema
- Id. de evento 4624: se inició sesión correctamente en una cuenta.