Los ID de eventos de seguridad de Windows que importan

Windows registra cientos de ID de evento. Unas pocas decenas responden a casi todas las preguntas de una investigación. Esta referencia enumera esos eventos, qué significa cada uno, los campos que importan y los errores que confunden a los analistas. Complementa la línea base de directiva de auditoría y Sysmon, que explica qué subcategorías de auditoría activar. Aquí el foco está en leer y aprovechar lo que producen.

Salvo que se indique lo contrario, los eventos están en el registro Security. Los eventos de controladores de dominio van marcados con DC.

Tipos de inicio de sesión

El evento 4624 (y el 4625) incluye un Logon Type que indica cómo inició sesión alguien. Apréndelos antes que nada:

Los inicios de sesión de tipo 3 de cuentas de administración en estaciones de trabajo, los de tipo 10 en servidores desde equipos que no son de administración y los de tipo 9 en cualquier lugar fuera de las estaciones de administración merecen una segunda mirada.

Autenticación y sesiones

Relaciona el 4624 y el 4672 por Logon ID: así ves qué inicios de sesión fueron privilegiados. Un Authentication Package NTLM con Package Name NTLM V1 no debería existir en una red moderna. Audítalo y elimínalo como parte de tu trabajo de restricción de NTLM.

Para el 4625, el Sub Status te dice el motivo:

Muchos errores 0xC0000064 desde un mismo origen significan que alguien está adivinando nombres de cuenta. Muchos errores 0xC000006A en cuentas distintas desde un mismo origen significan password spraying. Los 0xC000015B repetidos de cuentas de administración en estaciones de trabajo suelen ser tus restricciones por niveles funcionando según lo previsto.

Controladores de dominio: Kerberos y NTLM

Tipos de cifrado en 4768/4769: 0x11 es AES128, 0x12 es AES256, 0x17 es RC4. A medida que los dominios abandonan RC4, cualquier vale 0x17 que quede señala cuentas o servicios que hay que corregir. En Windows Server 2019 y posteriores, y en Server 2016 desde la actualización acumulativa de enero de 2025, los eventos 4768 y 4769 incluyen además MSDS-SupportedEncryptionTypes, Available Keys, Advertized Etypes (lo que ofreció el cliente) y Session Encryption Type. Estos campos muestran si una cuenta o un cliente puede usar AES antes de que deshabilites RC4.

Cambios en el directorio y en las cuentas

Alerta sobre el 4728, el 4732 y el 4756 cuando el grupo sea privilegiado: Domain Admins, Enterprise Admins, Administrators, Account Operators, Backup Operators, DnsAdmins, Group Policy Creator Owners y tus propios grupos de Tier 0.

DCSync aparece como un 4662 en un DC cuyas propiedades incluyen los GUID de los derechos de replicación 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2 (Get-Changes) y 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2 (Get-Changes-All), solicitados por una cuenta que no es un controlador de dominio.

Ejecución y persistencia

El XML de la tarea en el 4698 incluye el comando que ejecuta: léelo, no te limites a contar eventos. Para un detalle a nivel de proceso más allá del 4688, consulta despliegue y ajuste de Sysmon.

Manipulación y cambios de directiva

Todos estos deberían ser raros. El 1102, el 104 y el 4719 fuera de una ventana de cambios son indicadores sólidos por sí solos. Los eventos de Defender se tratan con más detalle en endurecimiento de Microsoft Defender Antivirus.

Acceso remoto y PowerShell

RDP deja rastro en tres lugares (Security 4624 de tipo 10, 1149 y 21). Si falta uno, aún tienes los otros. Endurece el propio servicio con la guía de endurecimiento de RDP. Para patrones de búsqueda en PowerShell, consulta detección de PowerShell malicioso.

Consultar los eventos

Get-WinEvent con una tabla hash de filtro es rápido, porque el filtrado se hace en el servicio de registro de eventos:

# Inicios de sesión fallidos en las últimas 24 horas, agrupados por cuenta, origen y motivo
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4625; StartTime = (Get-Date).AddDays(-1) } |
  ForEach-Object {
    $d = @{}; ([xml]$_.ToXml()).Event.EventData.Data | ForEach-Object { $d[$_.Name] = $_.'#text' }
    [pscustomobject]@{ Account = $d.TargetUserName; Source = $d.IpAddress; SubStatus = $d.SubStatus }
  } | Group-Object Account, Source, SubStatus | Sort-Object Count -Descending | Select-Object -First 20 Count, Name

Para filtrar por campos de datos del evento, usa XPath:

# Inicios de sesión RDP
Get-WinEvent -LogName Security -MaxEvents 50 `
  -FilterXPath "*[System[EventID=4624] and EventData[Data[@Name='LogonType']='10']]"

# Vales de servicio RC4 en un DC
Get-WinEvent -LogName Security -MaxEvents 100 `
  -FilterXPath "*[System[EventID=4769] and EventData[Data[@Name='TicketEncryptionType']='0x17']]"

Las consultas locales sirven para investigar y probar. Para la detección, envía estos eventos a un almacén central con Windows Event Forwarding o con un agente.

Qué se rompe

• Los eventos que faltan suelen significar que la subcategoría está desactivada, que el registro se sobrescribió o que falta una SACL. auditpol /get /category:* muestra la directiva efectiva.
• Volumen: el 4624, el 4634, el 4688, el 4769 y el 5140 tienen mucho volumen en servidores y DC. Recopílalos, pero alerta sobre agregados y anomalías, no sobre eventos individuales.
• Campos mal interpretados: el 4624 en un servidor refleja la visión del servidor; la dirección de origen puede ser un NAT, un proxy o estar vacía en inicios de sesión locales. El 4740 aparece en los controladores de dominio, no en el cliente.
• Mensajes localizados: extrae los campos del XML del evento, no del texto del mensaje, que cambia con el idioma del sistema operativo.

Verificación

En una máquina de prueba y en un DC de prueba, genera algunos eventos y confirma que se registran y se reenvían: un inicio de sesión fallido con una contraseña incorrecta (4625, 0xC000006A), un usuario de prueba agregado a un grupo de prueba (4732 o 4728), una tarea programada creada con Register-ScheduledTask (4698) y un servicio creado con New-Service (7045, 4697). Elimina después los objetos de prueba. Si un evento no aparece, corrige la directiva de auditoría antes de construir detecciones sobre él. Encontrarás más sobre la cadena de registro en la página temática de auditoría y registro.

Lista de comprobación

• Todos los analistas conocen los tipos de inicio de sesión y los códigos de subestado del 4625
• Subcategorías de auditoría y SACL implantadas para que cada evento de la lista pueda producirse
• Alertas sobre 1102, 104, 4719, 7045/4697, cambios en grupos privilegiados y Defender 5001/5013
• Supervisión de Kerberos en los DC: vales RC4, autenticación previa deshabilitada, picos de 4771
• Detección de DCSync mediante los GUID de replicación del 4662 desde cuentas que no son DC
• Registro Task Scheduler Operational habilitado; registros de RDP recopilados
• Las consultas analizan los campos XML del evento, no los mensajes representados
• Eventos de prueba generados y confirmados de principio a fin tras cada cambio de directiva