ID de evento de seguridad de Active Directory: referencia

El registro Security de un controlador de dominio puede anotar unos cuantos cientos de ID de evento distintos. Quizá cuarenta de ellos le digan algo útil sobre un ataque contra Active Directory, y un número mucho menor le dice qué ocurrió leído de forma aislada. Esta referencia enumera los eventos que importan en los DC y en los servidores de AD CS. Para cada uno indica la subcategoría de auditoría que lo genera, qué registra y los campos por los que filtrar al hacer threat hunting.

La guía pilar de auditoría y detección explica cómo habilitar la directiva de auditoría avanzada y las SACL. Esta página da por hecho que ese trabajo está hecho y se centra en leer el resultado. Todas las subcategorías se encuentran en Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Audit Policies.

Cómo leer esta referencia

Tres reglas ahorran tiempo:

• Importa dónde se registra el evento. Kerberos (4768, 4769, 4771) y la validación NTLM (4776) de cuentas de dominio se registran en el DC que gestionó la solicitud. Los eventos de inicio de sesión (4624, 4625) se registran en el equipo en el que el usuario inició sesión. Un inicio de sesión en un servidor de archivos genera un 4769 en un DC y un 4624 en el servidor de archivos.
• No se registra nada si la subcategoría no está habilitada. Los eventos de directorio necesitan además una SACL en el objeto.
• Filtre por campos, no por el texto del mensaje. Los mensajes de los eventos están localizados y cambian con el tiempo, pero los nombres de los campos XML (TargetUserName, TicketEncryptionType, Status) son estables.

Consulta por ID y campo en un DC:

# Últimas 50 preautenticaciones Kerberos fallidas en este DC
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4771 } -MaxEvents 50 |
  ForEach-Object {
    $x = [xml]$_.ToXml()
    [pscustomobject]@{
      Time    = $_.TimeCreated
      Account = ($x.Event.EventData.Data | Where-Object Name -eq 'TargetUserName').'#text'
      Client  = ($x.Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text'
      Code    = ($x.Event.EventData.Data | Where-Object Name -eq 'Status').'#text'
    }
  }

Eventos de inicio de sesión y de sesión

Subcategorías: Logon/Logoff > Audit Logon, Audit Special Logon, Audit Logoff, Audit Other Logon/Logoff Events.

Tipos de inicio de sesión por los que filtrará: 2 interactivo, 3 red, 4 lote, 5 servicio, 7 desbloqueo, 8 red con texto no cifrado, 9 NewCredentials (runas /netonly, generado también por algunas herramientas de inyección de credenciales), 10 RemoteInteractive (RDP), 11 interactivo en caché.

Códigos de subestado habituales de 4625:

Una ráfaga de 0xC000015B para cuentas de Tier 0 en estaciones de trabajo suele indicar que sus derechos de denegación de inicio de sesión por niveles funcionan como está previsto, y merece la pena seguir su tendencia.

Eventos de Kerberos

Subcategorías: Account Logon > Audit Kerberos Authentication Service (4768, 4771, 4772) y Audit Kerberos Service Ticket Operations (4769, 4770, 4773).

Valores de tipo de cifrado: 0x11 AES128, 0x12 AES256, 0x17 RC4-HMAC, 0x18 RC4-HMAC-EXP, 0x1 / 0x3 DES (no deberían aparecer nunca). El seguimiento de 0x17 en los eventos 4768 y 4769 es la forma de medir el avance hacia la deshabilitación de RC4. Las compilaciones más recientes añaden campos como las claves disponibles de la cuenta y el tipo de cifrado de la clave de sesión. Facilitan mucho esa medición, así que actualice sus analizadores para usarlos.

Un 4769 fallido con Status 0x1F (error en la comprobación de integridad del campo descifrado) puede indicar tickets falsificados o manipulados. Cuente con falsos positivos debidos a problemas de reloj y de confianzas, así que trátelos como pistas que investigar, no como veredictos.

Eventos de NTLM

Subcategoría: Account Logon > Audit Credential Validation.

Para conocer el uso de NTLM por versión de protocolo y servidor de destino, habilite Network security: Restrict NTLM: Audit NTLM authentication in this domain (auditar la autenticación NTLM en este dominio) y lea el registro Microsoft-Windows-NTLM/Operational (8001 a 8004). Ese proceso se explica en auditar y restringir NTLM.

Eventos de administración de cuentas

Subcategorías: Account Management > Audit User Account Management, Audit Computer Account Management, Audit Security Group Management.

Usuarios

Grupos

Genere alertas en tiempo real para los eventos 4728, 4732 y 4756 cuyo destino sea cualquier grupo de Tier 0. Filtre por TargetSid y no por nombre, para que los grupos renombrados o localizados sigan coincidiendo.

Equipos

Eventos del servicio de directorio

Subcategorías: DS Access > Audit Directory Service Access (4662) y Audit Directory Service Changes (5136 a 5141). Se requieren SACL.

5136 registra un evento por cada valor de atributo agregado o eliminado, con OperationType %%14674 (valor agregado) o %%14675 (valor eliminado). Un solo cambio de ACL genera un evento de eliminación para el descriptor antiguo y un evento de adición para el nuevo. Correlacione la pareja mediante OpCorrelationID.

Eventos útiles fuera del registro Security:

• Registro Directory Service, 2889: enlaces LDAP sin firma. Consulte firma LDAP y enlace de canal.
• Registro Directory Service, 2089: partición sin copia de seguridad dentro del intervalo de latencia de copia de seguridad.
• Registro System, 7045: nuevo servicio instalado en un DC.

Eventos de directiva, confianza e integridad del sistema

Trate los eventos 1102, 4719 y cualquier 4706 en los DC como eventos que justifican avisar a alguien de guardia. Las apariciones legítimas son poco frecuentes y siempre deben coincidir con un ticket de cambio.

Eventos de AD CS

Subcategoría: Object Access > Audit Certification Services. La CA necesita además su propio filtro de auditoría, que se configura en el servidor de la CA:

certutil -setreg CA\AuditFilter 127
Restart-Service certsvc

En los DC, los eventos 39, 40 y 41 del registro System (Kerberos-Key-Distribution-Center) informan de asignaciones de certificados débiles. Se tratan en la asignación segura de certificados. El panorama general de las plantillas está en el hardening de AD CS.

Errores habituales

• Sorpresas de volumen. 4624 de tipo 3, 4634, 4769 y 4662 dominan el volumen de registros de los DC. Reenvíelos igualmente, pero configure tamaños del registro Security suficientemente grandes (varios GB en los DC con mucha actividad) para que los registros locales cubran al menos unos días si la canalización de reenvío se detiene.
• Confusión entre 4771 y 4625. Los errores de Kerberos no generan un 4625 en el DC. Una detección de password spraying basada solo en 4625 no ve la mayoría de los ataques a escala de dominio.
• Nombres localizados. Los nombres de los grupos en los eventos están localizados en los DC que no están en inglés. Busque coincidencias por SID: los RID de dominio conocidos (512 Domain Admins, 519 Enterprise Admins, 518 Schema Admins) y el SID integrado S-1-5-32-544 (Administrators), que no lleva prefijo de dominio.
• Directiva de auditoría mixta. Si la configuración de categorías heredada se aplica junto con la directiva de auditoría avanzada sin habilitar Audit: Force audit policy subcategory settings, los eventos dejan de registrarse sin avisar.
• Crecimiento descontrolado de las SACL. Una SACL para Everyone que audite la lectura de todas las propiedades en la raíz del dominio inundará el registro. Limite la auditoría de lectura a los señuelos y la auditoría de escritura a los objetos de Tier 0.
• Desfase de reloj. Correlacionar un 4768 en un DC con un 4624 en un servidor solo funciona si la sincronización horaria es correcta en todo el dominio.

Lecturas relacionadas: saque estos eventos de los DC con Windows Event Forwarding, convierta unos cuantos de ellos en alertas prácticamente sin falsos positivos con honeytokens y explore el resto del área de auditoría, registro y detección.