4 câu hỏi bảo mật hàng đầu bạn chỉ có thể trả lời với các sự kiện đăng nhập/đăng xuất trên máy trạm

Tôi thường gặp phải một quan niệm sai lầm nguy hiểm về Nhật ký bảo mật Windows: ý tưởng rằng bạn chỉ cần giám sát nhật ký bộ điều khiển miền. Nhật ký bảo mật của bộ điều khiển miền cực kỳ quan trọng đối với bảo mật nhưng chúng chỉ là một phần trong quá trình kiểm tra tổng thể của bạn. Nhật ký máy chủ và máy trạm thành viên thực sự quan trọng và tôi sẽ tập trung bài viết này vào 4 câu hỏi hàng đầu mà bạn chỉ có thể trả lời với các sự kiện đăng nhập/đăng xuất máy trạm.

Để máy trạm của bạn tạo ra những sự kiện này, bạn cần kích hoạt ít nhất chính sách kiểm tra sau. Hãy nhớ rằng XP được cấu hình với 9 danh mục kiểm tra cũ trong khi Windows 7 và 8 phải được cấu hình với các danh mục con kiểm tra trong Chính sách kiểm tra nâng cao trong các đối tượng chính sách nhóm:

Windows XP

Windows 7 và 8

Logon/Logoff for Success & Failure

Đăng nhập để thành công và thất bại, đăng xuất để thành công

Người dùng đăng xuất khi nào?

Nhật ký bảo mật máy trạm là nơi duy nhất có thể trả lời câu hỏi này. Ngược lại với trực giác, Bộ điều khiển miền không biết khi nào bạn đăng xuất. Khi bạn nhập thông tin xác thực tại máy trạm của mình, mặc dù có vẻ như bạn đang đăng nhập vào miền nhưng thực ra bạn chỉ đang đăng nhập vào máy trạm của mình. Bộ điều khiển miền xác thực bạn nhưng phiên đăng nhập duy nhất được thiết lập là tại máy trạm. Windows gắn nhãn phiên đăng nhập bằng ID đăng nhập được bao gồm trong cả sự kiện đăng nhập (528 hoặc 4624) và sau đó trong sự kiện đăng xuất (551 hoặc 4647) và đó là cách bạn liên hệ 2 sự kiện để tính ra thời lượng của phiên đăng nhập. phiên đăng nhập tổng thể. Tuy nhiên, hãy nhớ rằng người dùng thường đăng nhập nhiều ngày liên tục. Vì vậy, để làm cho khái niệm về phiên đăng nhập trở nên có ý nghĩa hơn, bạn cần tính đến thời điểm bảng điều khiển máy trạm bị khóa và/hoặc trình bảo vệ màn hình có hiệu lực. Rất may Microsoft đã thêm ID sự kiện vào Windows 7 để đề cập đến những sự kiện này. Xem các sự kiện 4800-4803 được ghi lại nếu bạn bật danh mục phụ kiểm tra “Sự kiện đăng nhập/đăng xuất khác”.

Lý do chính xác cho việc đăng nhập thất bại là gì?

Bạn có tin rằng các sự kiện xác thực Kerberos không thành công trên bộ điều khiển miền không cho bạn biết lý do chính xáckhiến yêu cầu không thành công không? Tuy nhiên, điều đó là đúng và lý do là vì nhật ký sự kiện yêu cầu vé xác thực Kerberos sử dụng mã lý do được chỉ định trong RFC 1510. Đặc tả Kerberos này không tính đến tất cả các lý do khác nhau khiến quá trình đăng nhập có thể không thành công trong Windows, vì vậy một số mã lỗi Kerberos đã đăng nhập vào bộ điều khiển miền có thể có nghĩa là một trong một số lý do lỗi đăng nhập Windows. Ví dụ: mã lỗi Kerberos 0×12 (Thông tin đăng nhập của khách hàng đã bị thu hồi) có thể có nghĩa là tài khoản Windows đã bị vô hiệu hóa, hết hạn hoặc hiện bị khóa. Để biết lý do cụ thể khiến việc đăng nhập không thành công, bạn cần tìm sự kiện lỗi đăng nhập có liên quan trên máy trạm mà người dùng đã cố gắng đăng nhập từ đó. XP ghi lại một ID sự kiện khác nhau cho mỗi lý do (529-537) trong khi Windows 7 chỉ ghi lại một ID sự kiện (4625) với lý do được nêu trong chi tiết.

Ai đã truy cập vào máy tính xách tay này khi nó bị ngắt kết nối mạng?

Biết câu trả lời cho câu hỏi này có thể rất quan trọng trong các tình huống pháp y. Khi máy tính xách tay Windows bị ngắt kết nối khỏi mạng, bất kỳ người dùng tên miền nào trong số 10 lần đăng nhập tương tác thành công gần đây nhất đều có thể đăng nhập vào máy trạm bằng thông tin xác thực được lưu trong bộ nhớ đệm.

Thông thường, khi bạn đăng nhập vào máy trạm của mình bằng thông tin xác thực tên miền, máy trạm sẽ kiểm tra thông tin xác thực của bạn bằng bộ điều khiển miền và điều này sẽ tạo ra một dấu vết kiểm tra trên DC. Nhưng khi bạn đăng nhập vào máy trạm bằng thông tin xác thực được lưu trong bộ nhớ đệm thì không có gì được ghi vào DC - xét cho cùng thì toàn bộ lý do Windows sử dụng thông tin xác thực được lưu trong bộ nhớ đệm là do bạn chưa kết nối với mạng.

Một lần nữa, danh mục Đăng nhập/Đăng xuất trên XP và danh mục con Đăng nhập trên Windows 7 sẽ giúp ích rất nhiều. Chỉ cần tìm sự kiện đăng nhập 528 hoặc 540 trong đó Loại đăng nhập là 11. 11 là viết tắt của đăng nhập tương tác với thông tin đăng nhập được lưu vào bộ nhớ đệm.

Có ai đang cố gắng đột nhập vào máy tính này không?

Nếu ai đó đang cố xâm nhập vào một máy trạm từ mạng bằng cách đoán mật khẩu của tài khoản miền, thì lỗi xác thực sẽ hiển thị trong bộ điều khiển miền. Nhưng họ đang tấn công vào một tài khoản cục bộ trên máy trạm đó hoặc chỉ đơn giản là thử tên người dùng ngẫu nhiên, dấu hiệu duy nhất mà bạn gặp phải là các sự kiện đăng nhập không thành công trong nhật ký bảo mật của máy trạm đó.

Như đã nêu trước đó, các sự kiện lỗi đăng nhập cho XP là 529-537 trong khi Windows 7 chỉ ghi lại một ID sự kiện (4625) với lý do được nêu trong chi tiết. Làm thế nào bạn có thể biết liệu nỗ lực đăng nhập có liên quan đến tài khoản miền hay không? Chỉ cần kiểm tra Miền tài khoản trong phần “Tài khoản không đăng nhập được”. Nếu nó khớp với một trong các miền của bạn thì nỗ lực đăng nhập có thể liên quan đến tài khoản trên miền của bạn. Nếu Miền tài khoản khớp với tên của chính máy trạm thì có ai đó đang cố đăng nhập vào hệ thống đó bằng tài khoản cục bộ trong đó. Nếu Miền tài khoản trống hoặc có một số miền hoặc tên người dùng khác không tồn tại thì có thể ai đó đang cố xâm nhập vào hệ thống đó.

Như bạn có thể thấy, các sự kiện đăng nhập vào máy trạm cực kỳ có giá trị - đặc biệt là trong thời đại rủi ro bảo mật điểm cuối ngày càng gia tăng. Những kẻ tấn công Mối đe dọa liên tục nâng cao thích bắt đầu với một máy trạm bị xâm nhập và thực hiện chuỗi tiêu diệt bên cạnh máy chủ trọng tâm của chúng. Vì vậy, việc bắt những kẻ xâm nhập tại máy trạm là một cách tốt để sớm phá vỡ chuỗi tiêu diệt đó trong quá trình này.