ID d'événement 4649

ID d'événement 4649 - Une attaque par rejeu a été détectée

Si les champs nom du serveur, nom du client, heure et microseconde de la correspondance Authenticator sont trouvés dans les entrées récentes du cache, une réponse Kerberos KRB_AP_ERR_REPEAT est envoyée au client. L'envoi de cette réponse déclenche l'ID d'événement 4649, qui est enregistré par le contrôleur de domaine correspondant

Cet événement peut se produire si les mêmes packages sont envoyés par un périphérique réseau mal configuré entre le serveur et le client.

Les données de ce journal fournissent les informations suivantes :

• ID de sécurité
• Nom du compte
• Domaine du compte
• ID de connexion
• Nom du compte (rejoué)
• Domaine du compte (rejoué)
• ID de processus
• Nom du processus
• Nom de la station de travail
• Informations détaillées sur l'authentification

Pourquoi l’ID d'événement 4649 doit-il être surveillé ?

• Cet événement pourrait être le signe d'une attaque par rejeu Kerberos
• Il peut s'agir d'un problème de routage ou de configuration d’un périphérique réseau

Conseil de pro :

ADAudit Plus fournit des rapports pré-configurés en temps réel sur les connexions de comptes, ce qui permet d'identifier les utilisateurs mal intentionnés qui tentent de se connecter à des machines nécessitant des privilèges élevés. Les rapports fournissent également une preuve complète de toute action administrée par un utilisateur. Ces rapports sont utiles pour surmonter les difficultés liées à l'audit de la connexion au compte, telles que les attaques par rejeu.