Cuentas de servicio y privilegiadas

Un evento 4624 trae el tipo de inicio. Una cuenta de servicio que arranca un servicio genera el tipo 5, una tarea programada genera el tipo 4 y un acceso a un recurso de red genera el tipo 3. Una persona sentada o conectada por escritorio remoto genera el tipo 2 o el 10, que son interactivos.

La conducta esperada de una cuenta de servicio es la de un programa: siempre los mismos equipos y siempre los mismos tipos. Por eso un inicio interactivo con esa cuenta, o un inicio en un equipo fuera de su lista, es un cambio de patrón que merece mirarse, aunque no se sepa todavía si es un descuido o algo peor.

Abre inicios_de_sesion y busca los eventos de tipo 10. Hay dos: uno de una cuenta administrativa y otro de una cuenta de servicio. La primera es normal en un administrador; la segunda es el desvío. Cruza con cuentas para confirmar cuál es de servicio.

Una cuenta de servicio con una contraseña que nadie escribe a mano y que corre un programa no debería tener los privilegios de un administrador del dominio. Cuando los tiene, cualquier fuga de su clave equivale a una fuga del dominio entero. La tabla cuentas lista el grupo de cada una.

Una clave que no se cambia durante años acumula riesgo: cuantas más personas y copias la han tocado, más oportunidades tuvo de filtrarse. En cuentas, la columna clave_cambiada trae la fecha del último cambio. Con la fecha del informe, calcula cuántos días lleva sin cambiarse la cuenta más antigua.

El inicio de tipo 10 de la cuenta de servicio vino de una dirección que no es el equipo previsto para esa cuenta. Nadie ha dicho quién fue ni por qué. Puede ser un técnico que depura un problema con la cuenta equivocada o alguien que ya la tiene.