Seguindo as trilhas de logon de um usuário em todo o domínio do Windows

Quais eventos de segurança são registrados quando um usuário faz logon em sua estação de trabalho com uma conta de domínio e executa aplicativos locais e acessa recursos em servidores no domínio?

Quando um usuário faz logon em uma estação de trabalho com sua conta de domínio, a estação de trabalho entra em contato com o controlador de domínio via Kerberos e solicita um ticket granting ticket (TGT). Se o usuário falhar na autenticação, os controladores de domínio registrarão o ID do evento 4771 ou uma instância de falha de auditoria 4768. O código de resultado em qualquer um dos eventos especifica o motivo da falha na autenticação. Senhas incorretas e problemas de sincronização de horário acionam 4771 e outras falhas de autenticação, como expiração de conta, acionam uma falha 4768. Esses códigos de resultado são baseados no Kerberos RFC 1510 e, em alguns casos, um motivo de falha do Kerberos corresponde a vários possíveis motivos de falha de logon do Windows. Nesses casos, a única maneira de saber o motivo exato da falha é verificar o motivo da falha do evento de logon no computador onde o usuário está tentando fazer logon.

Se a autenticação das credenciais do usuário for verificada, o controlador de domínio criará um TGT, enviará esse ticket de volta para a estação de trabalho e registrará o ID do evento 4768. O ID do evento mostra o usuário que autenticou e o endereço IP do cliente (neste caso, a estação de trabalho ). No entanto, não há identificador de sessão de logon porque o controlador de domínio lida com a autenticação, e não com as sessões de logon. Os eventos de autenticação são apenas eventos no tempo; sessões têm um começo e um fim. No Windows, cada computador membro (estação de trabalho e servidores) gerencia suas próprias sessões de logon.

Quando o controlador de domínio falha na solicitação de autenticação, a estação de trabalho local registrará 4625 em seu log de segurança local, anotando o domínio do usuário, o nome de logon e o motivo da falha. Há um motivo de falha diferente para cada motivo pelo qual um logon do Windows pode falhar, em contraste com os códigos de resultado mais gerais gerados pelos eventos do controlador de domínio Kerberos.

Se a autenticação for bem-sucedida e o controlador de domínio enviar de volta um TGT, a estação de trabalho criará uma sessão de logon e registrará a ID de evento 4624 no log de segurança local. Este evento identifica o usuário que acabou de efetuar logon, o tipo de logon e o ID de logon. O tipo de logon especifica se a sessão de logon é interativa, de área de trabalho remota, baseada em rede (ou seja, conexão de entrada para pasta compartilhada), um trabalho em lote (por exemplo, tarefa agendada) ou um logon de serviço acionado por um logon de serviço. O ID de logon é um número hexadecimal que identifica aquela sessão de logon específica. Todos os eventos subsequentes associados à atividade durante essa sessão de logon terão o mesmo ID de logon, tornando relativamente fácil correlacionar todas as atividades de um usuário enquanto ele estiver conectado. Quando o usuário finalmente fizer logoff, o Windows registrará um 4634 seguido de um 4647. O ID do evento 4634 indica que o usuário iniciou a sequência de logoff, que pode ser cancelada. O logon 4647 ocorre quando a sessão de logon é totalmente encerrada. Se o sistema for desligado, todas as sessões de logon serão encerradas e, como o usuário não iniciou o logoff, o ID do evento 4634 não é registrado.

Enquanto um usuário está conectado, ele normalmente acessa um ou mais servidores na rede. A estação de trabalho reutiliza automaticamente as credenciais de domínio inseridas no logon para se conectar a outros servidores. Quando um servidor recebe uma solicitação de logon (por exemplo, quando um usuário tenta acessar uma pasta compartilhada em um servidor de arquivos), a estação de trabalho do usuário solicita um tíquete de serviço do controlador de domínio que autentica o usuário nesse servidor. O controlador de domínio registra 4769, o que é útil porque indica que o usuário X acessou o servidor Y; o nome do computador do servidor acessado é encontrado no campo Nome do serviço 4769. Quando a estação de trabalho apresenta o tíquete de serviço ao servidor de arquivos, o servidor cria uma sessão de logon e registra o ID do evento 4624, assim como a estação de trabalho fez anteriormente, mas desta vez logon o tipo é 3 (logon de rede). No entanto, assim que o usuário fecha todos os arquivos abertos durante esta sessão de logon na rede, o servidor encerra automaticamente a sessão de logon e registra 4647. Portanto, as sessões de logon na rede normalmente duram menos de um segundo enquanto um arquivo é salvo, a menos que o aplicativo do usuário mantenha um arquivo aberto no servidor por longos períodos de tempo. Isso resulta no fluxo constante de eventos de logon/logoff que você normalmente observa em servidores de arquivos e significa que os eventos de logon/logoff em servidores com tipo de logon 3 não são muito úteis. Provavelmente é melhor focar em eventos de acesso a arquivos confidenciais usando auditoria de acesso a objetos.

Eventos adicionais de logon/logoff em servidores e eventos de autenticação associados a outros tipos de atividade do usuário incluem:

• Conexões de área de trabalho remota
• Inicializações de serviços
• Atividades agendadas
• Logons de aplicativos - especialmente aplicativos baseados em IIS, como SharePoint, Outlook Web Access e clientes de dispositivos móveis ActiveSync

Esses eventos gerarão eventos de logon/logoff nos servidores de aplicativos envolvidos e eventos Kerberos nos controladores de domínio.

Também podem ocorrer eventos de autenticação NTLM em controladores de domínio de clientes e aplicativos que usam NTLM em vez de Kerberos. Os eventos NTLM se enquadram na subcategoria Validação de credenciais da categoria de auditoria de logon de conta no Windows. Há apenas ID de evento registrado para eventos de autenticação NTLM bem-sucedidos e com falha.

Um usuário deixa rastros em cada sistema que acessa, e apenas os registros de segurança combinados dos controladores de domínio fornecem uma lista completa sempre que uma conta de domínio é usada e quais estações de trabalho e servidores foram acessados. Compreender o Kerberos e o NTLM e como o Windows separa os conceitos de sessões de logon da autenticação pode ajudar um administrador de sistema a interpretar esses eventos e entender por que diferentes eventos são registrados em cada sistema.

Veja mais exemplos dos eventos descritos neste artigo na Enciclopédia de registros de segurança.