ID de evento do Windows 4624 – Login bem-sucedido

Introdução

O ID de evento 4624 (visualizado no Visualizador de eventos do Windows) documenta todas as tentativas bem-sucedidas de login em um computador local. Esse evento é gerado no computador que foi acessado, ou seja, onde a sessão de login foi criada. Um evento relacionado, ID de evento 4625 documenta falha nas tentativas de login.

O evento 4624 se aplica aos seguintes sistemas operacionais: Windows Server 2008 R2 e Windows 7, Windows Server 2012 R2 e Windows 8.1 e Windows Server 2016 e Windows 10. Os eventos correspondentes no servidor Windows 2003 e versões anteriores incluíam 528 e 540 para logins bem-sucedidos.

O ID de evento 4624 parece um pouco diferente no servidor Windows 2008, 2012 e 2016. Os campos importantes em cada uma dessas versões estão destacados nas capturas de tela abaixo.  

Evento 4624 (Windows 2008)

Evento 4624 (Windows 2012)

Evento 4624 (Windows 2016)

Descrição dos campos de evento

As informações importantes que podem derivar do evento 4624 incluem:

• • Tipo de login: Este campo revela o tipo de login ocorrido. Em outra palavras, ele aponta como o usuário fez login. Há um total de nove tipos diferentes de login. Os tipos de login mais comuns são: login tipo 2 (interativo) e login tipo 3 (rede). Qualquer tipo de login diferente de 5 (que denota uma inicialização de serviço) é um sinal de alerta.
• • Novo login: Essa seção revela o nome da conta do usuário para quem o novo login foi criado e o ID de login, um valor hexadecimal que ajuda a correlacionar este evento com outros eventos.

Outras informações que podem ser obtidas do evento 4624:

• • A seção Assunto revela a conta no sistema local (não o usuário) que solicitou o login.
• • A seção Nível de representação revela até que ponto um processo na sessão de login pode representar um cliente. Os níveis de representação determinam as operações que um servidor pode realizar no contexto do cliente.
• • A seção Informações do processo revela detalhes sobre o processo que tentou o login.
• • A seção Informações da rede revela onde o usuário estava quando fez login. Se o login tiver sido iniciado no mesmo computador, essas informações ficarão em branco ou refletirão o nome da estação de trabalho do computador local e o endereço da rede de origem. 
• • As Informações de autenticação revelam informações sobre o pacote de autenticação usado para login.

A necessidade de uma ferramenta de terceiros

Em um ambiente de TI típico, o número de eventos com ID 4624 (logins bem-sucedidos) pode chegar a milhares por dia. No entanto, todos esses eventos de login bem-sucedidos não são importantes; mesmo os acontecimentos importantes são inúteis isolados, sem qualquer ligação estabelecida com outros acontecimentos.  

Por exemplo, embora o evento 4624 seja gerado quando uma conta faz login e o evento 4647 seja gerado quando uma conta faz logout, nenhum desses eventos revela a duração da sessão de login. Para saber a duração do login, você precisa correlacionar o evento 4624 com o evento 4647 correspondente usando o ID de login. 

Portanto, a análise e a correlação do evento precisam ser realizadas. Ferramentas nativas e scripts do PowerShell exigem conhecimento e tempo quando empregados para esse fim e, portanto, uma ferramenta de terceiros é realmente indispensável.

Ao aplicar aprendizado de máquina, o ADAudit Plus cria uma linha de base de atividades normais específicas para cada usuário e só notifica o pessoal de segurança quando há um desvio desta norma.

Por exemplo, um usuário que acessa consistentemente um servidor crítico fora do horário comercial não acionaria um alerta de falso-positivo porque esse comportamento é típico desse usuário. Por outro lado, o ADAudit Plus alertaria instantaneamente as equipes de segurança quando o mesmo usuário acessasse aquele servidor em um horário em que nunca o havia acessado antes, mesmo que o acesso ocorresse dentro do horário comercial.