Eventos de autenticación

En un controlador de dominio, la autenticación con Kerberos empieza con la solicitud de un ticket de concesión de tickets (TGT), que genera el evento 4768. Cuando el fallo ocurre en la preautenticación, por ejemplo una clave incorrecta, el controlador no escribe un 4768 de fallo: escribe el evento 4771. La validación de credenciales por NTLM tiene su propio evento, el 4776, y el inicio de sesión ya completado en un equipo es el 4624.

Esto importa porque un detector que solo mira el 4768 no ve las claves incorrectas. El código de resultado dice la causa: 0x6 es un nombre de cuenta que no existe, 0x12 una cuenta deshabilitada, vencida o bloqueada, y 0x18 una preautenticación inválida. La tabla codigos_kerberos los resume.

Abre eventos_dc y filtra por el evento 4771. Cuenta los fallos por cuenta. Un usuario que se equivoca varias veces y después entra suele haber cambiado la clave en otro sitio o tener un equipo con la clave guardada. La repetición es una pista y no una conclusión: Kerberos no distingue a una persona despistada de alguien que prueba claves.

Una solicitud de TGT con código 0x6 indica un nombre de cuenta que no está en el directorio. Una sola es un error de escritura. Varias seguidas, con nombres distintos y comunes, desde el mismo origen y en segundos, son un patrón de búsqueda de nombres. El registro da el patrón, no la intención: el mismo patrón lo puede producir una herramienta de inventario mal configurada.

Desde Windows Server 2008 el cifrado esperado de un ticket de Kerberos es AES, que se registra como 0x11 o 0x12. El valor 0x17 es RC4, que era la suite por defecto de sistemas más antiguos. Un ticket con 0x17 no es un ataque por sí solo: suele ser un equipo o una cuenta antigua. Sirve para encontrar qué sigue hablando con el cifrado antiguo y decidir si se corrige o se acepta como excepción.

Con estos eventos tienes tres hallazgos: una persona con varios fallos que luego entró, un origen que probó cinco nombres inexistentes en ocho segundos y tickets con cifrado antiguo. Nadie ha hablado con el dueño del equipo ni se ha revisado nada más.