Escrito por Daniel Donda Seg, 29 de Junho de :58 - Última atualização Seg, 29 de Junho de :00

Transcrição

1 Sempre fica uma pequena duvida entre qual auditoria utilizar. Mas nada mais facil é saber o tipo de evento que precisamos e assim habilitar a auditoria correta. Eventos de Logon de Conta Eventos de logon de conta são gerados nos controladores de domínio para a atividade das contas do domínio e nos computadores locais para a atividade das contas locais. Eventos de logon Descrição 528 Um usuário fez logon com sucesso em um computador. Para obter informações sobre o tipo de logon, c 529 Falha de logon. Foi feita uma tentativa de logon com nome de usuário desconhecido ou senha inválida. 530 Falha de logon. Foi feita uma tentativa de logon por uma conta de usuário que tentou fazer logon fora do 1 / 12

2 531 Falha de logon. Foi feita uma tentativa de logon usando-se uma conta desabilitada. 532 Falha de logon. Foi feita uma tentativa de logon usando-se uma conta expirada. 533 Falha de logon. Foi feita uma tentativa de logon por um usuário que não tem permissão para fazer logon 534 Falha de logon. O usuário tentou fazer logon com um tipo que não é permitido. 535 Falha de logon. A senha da conta especificada expirou / 12

3 Falha de logon. O serviço Net Logon não está ativo. 537 Falha de logon. A tentativa de logon falhou por outros motivos. Observação Em alguns casos, o motivo da falha do logon pode ser desconhecida. 538 O processo de logoff de um usuário foi concluído. 539 Falha de logon. A conta foi bloqueada no momento em que foi feita a tentativa de logon. 540 Um usuário fez logon com sucesso na rede. 3 / 12

4 541 Foi concluída a autenticação do Internet Key Exchange (IKE) de modo principal entre o computador loca 542 Um canal de dados foi finalizado. 543 O modo principal foi finalizado. Observação Isso pode ocorrer porque o limite de tempo da associação de segurança expirou (o padrão é 8 horas), 544 Falha da autenticação do modo principal porque o computador não forneceu um certificado válido ou a a / 12

5 Falha na autenticação do modo principal devido a uma falha do Kerberos ou porque a senha era inválid 546 Falha ao estabelecer a associação de segurança IKE porque o computador enviou uma proposta inválid 547 Ocorreu uma falha durante um handshake do IKE. 548 Falha de logon. A identificação de segurança (SID) de um domínio confiável não corresponde à SID do 549 Falha de logon. Todas as SIDs correspondentes a espaços para nome não-confiáveis foram filtrados du 550 Mensagem de notificação que pode indicar um possível ataque de negação de serviço. 5 / 12

6 551 Um usuário iniciou um processo de logoff. 552 Um usuário fez logon com sucesso a um computador que usa credenciais explícitas enquanto já havia f 682 Um usuário reconectou-se com uma sessão do Terminal Server desconectada. 683 Um usuário desconectou uma sessão do Terminal Server sem fazer logoff. Observação Esse evento é gerado quando um usuário é conectado a uma sessão do Terminal Server pela rede. El Quando um evento 528 é registrado, um tipo de logon também é listado no log de eventos. A tabela a seguir describe cada tipo de logon. 6 / 12

7 Tipo de logon Nome do logon Descrição 2 Interactive Um usuário fez logon nesse computador. 3 Network Um usuário ou computador fez logon nesse computador a partir da rede. 4 Batch 7 / 12

8 O tipo de logon Batch é usado por servidores batch quando podem haver processos sendo executados 5 Service Um serviço foi iniciado pelo Gerenciador de Controle de Serviços. 7 Unlock Essa estação de trabalho foi desbloqueada. 8 NetworkCleartext Um usuário fez logon nesse computador a partir da rede. A senha do usuário foi transmitida ao pacote d 9 8 / 12

9 NewCredentials Um chamador clonou seu token atual e especificou novas credenciais para conexões de saída. A nova 10 RemoteInteractive Um usuário fez logon nesse computador remotamente usando serviços de terminal ou área de trabalho 11 CachedInteractive Um usuário fez logon nesse computador com credenciais de rede que estavam armazenadas localment Eventos de Logon 9 / 12

10 Essa configuração de segurança determina se deve ser feita a auditoria de cada instância de logon ou logoff do usuário em outro computador na qual esse computador seja usado para validar a conta. Eventos de logon de conta são gerados quando uma conta de usuário do domínio é autenticada em um controlador de domínio. O evento é registrado no log de segurança do controlador de domínio. Os eventos de logon são gerados quando um usuário local é autenticado em um computador local. O evento é registrado no log de segurança local. Eventos de logoff de conta não são gerados. Se você definir esta configuração de diretiva, poderá especificar se haverá auditoria de acessos com êxito, acessos sem êxito ou se não ocorrerá auditoria desse tipo de evento. As auditorias com êxito geram uma entrada de auditoria quando uma tentativa de logon de conta é bem-sucedida. As auditorias sem êxito geram uma entrada de auditoria quando uma tentativa de logon de conta apresenta falhas. Eventos de logon de conta Descrição 672 Uma permissão de serviço de autenticação (AS) foi emitida e validada com sucesso / 12

11 Foi concedida uma permissão ao serviço de concessão de permissão (TGS). 674 Um objeto de segurança renovou uma permissão AS ou TGS. 675 Falha de pré-autenticação. Esse evento é gerado em um centro de distribuição de chaves (KDC) quand 676 Falha na solicitação da permissão de autenticação. Esse evento não é gerado no Windows XP nem na 677 Não foi concedida uma permissão TGS. Esse evento não é gerado no Windows XP nem na família Win 678 A conta foi mapeada com sucesso como uma conta do domínio. 11 / 12

12 681 Falha de logon. Foi feita uma tentativa de logon na conta do domínio. Esse evento não é gerado no Win 682 Um usuário reconectou-se a uma sessão do Terminal Server desconectada. 683 Um usuário desconectou uma sessão do Terminal Server sem fazer logoff. 12 / 12