El registro de Seguridad — 4624, 4625 y el tipo de inicio

Windows no escribe un único registro: escribe varios canales, y cada uno responde a una pregunta distinta. Sistema cuenta lo que le pasa a la máquina (servicios que arrancan, controladores, apagados). Aplicación cuenta lo que dicen los programas. Seguridad cuenta quién hizo qué: inicios de sesión, cambios de cuentas, accesos a objetos auditados. Es el canal que más consulta un SOC y el único que no puede escribir cualquier programa: solo lo alimenta el propio sistema.

Dentro de cada canal, cada tipo de evento tiene un identificador (Event ID). El identificador no es un detalle técnico: es la clave por la que se filtra. Un analista no busca «inicios de sesión raros», busca 4624 con ciertas condiciones. Aprender los diez o doce identificadores que más importan es lo que convierte el visor de eventos de un muro de texto en una consulta de una línea.

El evento 4624 dice «se inició una sesión correctamente»; el 4625, «un intento de inicio de sesión falló». Juntos cuentan la historia de una autenticación: unos cuantos 4625 seguidos de un 4624 desde el mismo origen es el patrón de alguien que acabó acertando. Un 4625 suelto es un usuario que se equivocó al teclear.

El 4625 trae además un código de estado que dice por qué falló, y ese código cambia la lectura. 0xC000006A significa que la cuenta existe y la contraseña era incorrecta. 0xC0000064 significa que la cuenta no existe. Una ráfaga de fallos con cuentas que no existen es alguien probando nombres de una lista; una ráfaga con contraseña incorrecta sobre una cuenta real es alguien que ya sabe a quién va.

Un 4624 sin su tipo de inicio (Logon Type) es media frase. El tipo dice por dónde entró la sesión: 2 es interactivo, alguien frente al teclado; 3 es de red, como abrir una carpeta compartida; 5 es un servicio que arranca; 10 es escritorio remoto, alguien conectado por RDP desde otra máquina.

Esa diferencia decide la gravedad. Cientos de tipo 3 hacia el servidor de archivos son el día normal de una oficina. Un tipo 10 a las tres de la madrugada en el equipo de una persona que trabaja de nueve a seis es otra cosa: alguien controla esa pantalla desde fuera. Mismo identificador, distinta historia; por eso el filtro bueno nunca es solo event_id = 4624.

En la consola tienes el registro de Seguridad de los equipos de Delta Cargo de la madrugada del 1 de octubre. En del-ws-022 hay fallos de inicio de sesión y, después, una sesión aceptada que no entra por el teclado. Encuentra desde qué dirección interna se abrió esa sesión de escritorio remoto.