¿Qué es el ID de evento 4769 y cómo solucionarlo?

El identificador de evento 4769 Kerberoasting es una alerta de seguridad. Este evento se puede usar para detectar la presencia de usuarios maliciosos que intentan usar Kerberos para hacerse pasar por otro usuario o servicio.

Esto se genera cada vez que se contacta a un DC para validar el token de seguridad. El protocolo de autenticación Kerberos se utiliza para probar la identidad de un cliente que desea acceder a un recurso de red en nombre de un usuario final. Entonces, si nota este ID de evento, esto es lo que debe hacer.

¿Qué causa el evento ID 4769?

Este evento indica que el servidor intentó solicitar un vale de servicio de Kerberos para la cuenta de usuario especificada en el ID del evento. Normalmente, el token de seguridad del usuario se ha enviado a un controlador de dominio (DC) para su validación.

Esto puede suceder porque la cuenta de usuario solicitada no está en el dominio o por un error en la base de datos de KDC. Otras razones incluyen:

• El servidor tiene una entrada de base de datos caducada – Este evento se registra cuando un cliente intenta conectarse a un servidor mediante la autenticación Kerberos. El KDC no puede verificar que aún tenga un TGT válido para el cliente.
• El cliente tiene una entrada de base de datos caducada – Cuando se agote el tiempo de inicio de sesión de un cliente, se registrará el ID de evento de auditoría de error de Kerberos 4769 0x17. Esto ocurre cuando una computadora cliente no puede renovar su boleto de concesión de boletos (TGT).
• Múltiples entradas – Se genera un ticket de Kerberos para cada principal para identificar al usuario (o servicio) cuando se conecta a otras computadoras en la red. Este ticket contiene información sobre qué servicios pueden usar y a qué tienen acceso después de iniciar sesión.
• Versión de protocolo no compatible – Cuando un cliente intenta conectarse a un servidor utilizando una versión de protocolo anterior, se registra el evento de auditoría de falla de Kerberos 4769. El servidor rechazará el intento de autenticación porque el cliente puede estar usando una versión obsoleta de Kerberos. También es posible que el usuario intente iniciar sesión con una cuenta comprometida.
• Contraseñas débiles – Se produce un Kerberoasting con ID de evento 4769 cuando una entidad malintencionada obtiene y utiliza los vales de Kerberos de la víctima. Un usuario puede realizar un ataque de fuerza bruta en los nombres principales de servicio de un controlador de dominio o pudo obtener y descifrar el vale de concesión de vales cifrado (TGT) del objetivo.

¿Cómo puedo arreglar el ID de evento 4769?

1. Eleva tu nivel de autenticación

1. golpear ventanas + R las llaves para abrir Correr dominio.
2. Tipo gpedit.msc en el cuadro de diálogo y presione ingresar abrir Editor de directivas de grupo.
3. Navegue a la siguiente ubicación: Computer Configuration/Windows Settings/ Security Settings/Local Policies/Security Options
4. Localizar Seguridad de red: configure los tipos de cifrado permitidos para Kerberos y haga doble clic en él.
5. Bajo la Configuración de seguridad local pestaña, seleccione AES256_HMAC_SHA1luego seleccione aplicar y Bien.

Es importante cambiar el tipo de cifrado del ticket de Event ID 4769. Esto se debe a que el nivel de autenticación del algoritmo de cifrado determina la seguridad de la contraseña. Cuanto más fuerte sea la contraseña, más difícil será para alguien piratear sus cuentas en línea.

2. Habilitar la auditoría

1. golpear ventanas clave, tipo Potencia Shell en la barra de búsqueda y haga clic en Ejecutar como administrador.
2. Escribe el siguiente comando y presiona ingresar: auditpol /set /subcategory:”logon” /failure:enable

Si ha habilitado la auditoría de Kerberos, puede ver este evento. Cuando usuarios no autorizados intenten iniciar sesión, recibirá una notificación. También enumerará el código de error para los usuarios que intentan obtener tickets utilizando las credenciales de otros usuarios o servicios en su entorno.

A continuación, puede tomar las medidas necesarias para bloquear a los usuarios. Esto es especialmente importante para el código de error 0x1b del evento ID 4769. Estos errores pueden ser difíciles de detectar porque no pasan por la autenticación cliente-servidor.

3. Restablecer la contraseña de Kerberos

Kerberoasting es una técnica para recopilar vales de Kerberos de los controladores de dominio de Windows. Es una de las formas más efectivas de obtener privilegios elevados en un entorno de dominio.

Para resolver este problema, debe restablecer la contraseña del usuario en Usuarios y equipos de Active Directory (ADUC). Estos suelen ser privilegios exclusivos de administrador, por lo que debe ponerse en contacto y solicitar un restablecimiento de contraseña.

También puede encontrar el error Event ID 4771 donde falló la autenticación previa de Kerberos, así que no dude en consultar nuestra guía para obtener más información.

Háganos saber si pudo corregir este error en la sección de comentarios a continuación.