ID de evento 4648: se intentó iniciar sesión utilizando credenciales explícitas

ID de evento 4648: se intentó iniciar sesión utilizando credenciales explícitas

Cuando un proceso intenta iniciar sesión en una cuenta especificando explícitamente las credenciales de esa cuenta, se genera el evento 4648. Esto generalmente se genera mediante configuraciones de tipo lote. También se genera periódicamente durante la actividad normal del sistema operativo como un evento de rutina.

Estos datos de registro proporcionan la siguiente información:

• Identificación de seguridad
• Nombre de la cuenta
• Dominio de cuenta
• ID de inicio de sesión
• GUID de inicio de sesión
• Nombre del servidor de destino
• Información adicional (servidor de destino)
• Identificacion de proceso
• Nombre del proceso
• Dirección de red
• Puerto

¿Por qué es necesario monitorear el evento ID 4648?

• Para estar al tanto de los procesos reportados en este evento
• Para monitorear cómo y cuándo se utiliza una cuenta en particular
• Para monitorear acciones de cuentas de alto valor.
• Para detectar anomalías y acciones maliciosas
• Para garantizar que no se utilicen cuentas no activas, externas y restringidas
• Para garantizar que sólo las cuentas incluidas en la lista blanca realicen determinadas acciones específicas
• Para hacer cumplir convenciones y cumplimientos.

Consejo profesional:

Con informes detallados, alertas en tiempo real y pantallas gráficas, ADAudit Plus rastrea los intentos de inicio de sesión exitosos de los usuarios locales, ayudándolo a satisfacer sus necesidades operativas, de seguridad y de cumplimiento con absoluta facilidad.