Los eventos del controlador que lo cuentan

3 tareas · 40 min · Principiante

Toda actividad de autenticación deja registros específicos en el visor de eventos del controlador de dominio. En esta sala se analizan las solicitudes de tickets y la validación de credenciales para correlacionar solicitudes legítimas con anomalías en el uso de algoritmos y fallos de autenticación en Constructora Andes Central.

0 de 3 · 0%

Objetivo de la sala

El registro de seguridad de Windows documenta cada etapa del ciclo de autenticación: la emisión de TGT (código 4768), la validación NTLM (código 4776) y el inicio de sesión de red (código 4624 con Logon Type 3). Por su parte, la entrega de tickets de servicio queda registrada con su propio código numérico de auditoría.

En la tabla eventos_seguridad, examina los registros asociados a las solicitudes de tickets de servicio.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla eventos_seguridad, ¿cuál es el código de evento (id_evento) que registra la solicitud de un ticket de servicio TGS?

Ver pista de ayuda

Observa el identificador de evento en los registros donde se solicita un servicio como cifs o mssql.

En el evento 4769, el campo Ticket Encryption Type indica el algoritmo empleado. El valor hexadecimal 0x17 corresponde a RC4_HMAC, mientras que 0x12 denota AES256. Múltiples eventos 4769 con cifrado 0x17 emitidos en un lapso breve hacia diversos SPNs son característicos de actividades de recolección de tickets TGS.

Consulta la tabla eventos_seguridad e identifica la cuenta de usuario que solicitó tickets de servicio utilizando cifrado RC4 (valor 0x17).

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla eventos_seguridad, ¿cuál es la cuenta de origen que registra solicitudes de ticket TGS con cifrado 0x17?

Ver pista de ayuda

Filtra los eventos con id 4769 donde la columna tipo_cifrado sea 0x17.

El monitoreo continuo de los eventos de autenticación permite detectar tanto patrones de degradación criptográfica como posibles intentos de acceso con cuentas deshabilitadas o contraseñas erróneas.

Calcula cuántos registros en la tabla eventos_seguridad corresponden a tickets solicitados con cifrado RC4 (0x17) o a intentos de autenticación NTLM con resultado de fallo.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla eventos_seguridad, ¿cuántos eventos presentan cifrado 0x17 o resultado con fallo?

Ver pista de ayuda

Suma los dos eventos 4769 con cifrado 0x17 y los dos eventos 4776 con resultado Fallo.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Constructora Andes Central · Registros del Controlador de Dominio dc01 (datos de ejemplo)

Consola de lectura · salidas guardadas

Tablas

eventos_seguridad

id_evento
marca_tiempo
cuenta_origen
servicio_solicitado
tipo_cifrado
resultado

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Identificador de evento para tickets TGS Lab

2 Cuenta con solicitudes en cifrado RC4 Lab

3 Recuento de eventos anómalos o fallidos Lab

Whoami-Labs Pro utiliza cookies