Hvad er Event ID 4769 & Hvordan fikser man det?

Skift dit autentificeringsniveau til en mere sikker krypteringstype

Hændelses-id'et 4769 Kerberoasting er en sikkerhedsadvarsel. Denne hændelse kan bruges til at registrere tilstedeværelsen af ​​ondsindede brugere, der forsøger at bruge Kerberos til at efterligne en anden bruger eller tjeneste.

Det genereres hver gang en DC kontaktes for at validere sikkerhedstokenet. Kerberos-godkendelsesprotokollen bruges til at bevise identiteten af ​​en klient, der ønsker at få adgang til en netværksressource på vegne af en slutbruger. Så hvis du opdager dette særlige begivenheds-id, er her, hvad du skal gøre.

Hvad forårsager hændelses-id 4769?

Denne hændelse angiver, at serveren forsøgte at anmode om en Kerberos-servicebillet for den brugerkonto, der er angivet i hændelses-id'et. Normalt blev brugerens sikkerhedstoken sendt til en domænecontroller (DC) til validering.

Dette kan ske, fordi den anmodede brugerkonto ikke er i domænet eller på grund af en fejl i KDC-databasen. Andre årsager omfatter:

• Serveren har en udløbet databasepost – Denne hændelse logges, når en klient forsøger at oprette forbindelse til en server ved hjælp af Kerberos-godkendelse. KDC kan ikke bekræfte, at det stadig er i besiddelse af en gyldig TGT-billet til klienten.
• Klienten har en udløbet post i databasen – Når en klients indtastning er udløbet, vil Kerberos-fejlrevisionshændelses-id 4769 0x17 blive registreret. Dette sker, når en klientcomputer ikke kan forny sin ticket-granting ticket (TGT).
• Flere poster – En Kerberos-billet genereres for hver principal for at identificere brugeren (eller tjenesten), når de opretter forbindelse til andre computere på netværket. Denne billet indeholder information om, hvilke tjenester de kan bruge, og hvad de har adgang til, efter de er logget ind.
• Ikke-understøttet protokolversion – Når en klient forsøger at oprette forbindelse til en server ved hjælp af en gammel protokolversion, logges Kerberos-fejlrevisionsbegivenheden 4769 på. Serveren vil afvise loginforsøget, fordi klienten muligvis bruger en forældet version af Kerberos. Det er også muligt, at brugeren forsøger at logge ind med en kompromitteret konto.
• Svage adgangskoder – Et Event ID 4769 Kerberoasting opstår, når en ondsindet enhed får og bruger ofrets Kerberos-billetter. En bruger udfører muligvis et brute-force-angreb på tjenestens hovednavne på en domænecontroller eller var i stand til at opnå og dekryptere målets krypterede ticket-granting ticket (TGT).

Hvordan kan jeg rette Event ID 4769?

1. Hæv godkendelsesniveauet

1. Tryk på Windows + R nøgler til at åbne Løb kommando.
2. Type gpedit.msc i dialogboksen og tryk Gå ind at åbne Group Policy Editor.
3. Naviger til følgende sted: Computerkonfiguration/Windows-indstillinger/ Sikkerhedsindstillinger/Lokale politikker/Sikkerhedsindstillinger
4. Find Netværkssikkerhed: Konfigurer de krypteringstyper, der er tilladt for Kerberos, og dobbeltklik på den.
5. Under Lokale sikkerhedsindstillinger fanen, vælg AES256_HMAC_SHA1, og vælg derefter ansøge og Okay.

Det er vigtigt at ændre event ID 4769 billetkrypteringstypen. Dette skyldes, at godkendelsesniveauet for din krypteringsalgoritme bestemmer styrken af ​​din adgangskode. Jo stærkere adgangskoden er, jo sværere er det for nogen at hacke sig ind på dine onlinekonti.

2. Aktiver revision

1. Tryk på Windows nøgle, type Powershell i søgefeltet, og klik Kør som administrator.
2. Skriv følgende kommando og tryk Gå ind: auditpol /set /subcategory:”logon” /failure: aktiver

Hvis du har aktiveret Kerberos-revision, kan du se denne begivenhed. Når uautoriserede brugere forsøger at logge ind, får du en notifikation. Den vil også vise fejlkoden for brugere, der forsøger at få billetter ved hjælp af legitimationsoplysningerne fra andre brugere eller tjenester i dit miljø.

Du kan derefter tage de nødvendige skridt for at blokere brugerne. Dette er især vigtigt for hændelses-id 4769-fejlkoden 0x1b. Sådanne fejl kan være svære at opdage, da de ikke passerer gennem klient-server-godkendelse.

Læs mere om dette emne

• Hyper-V-fejl 0x8009030e: Sådan rettes det
• League of Legends-serverstatus: Hvornår og hvordan man tjekker det
• Rette: Hændelses-id 4663, der blev gjort et forsøg på at få adgang til et objekt

3. Nulstil Kerberos adgangskode

Kerberoasting er en teknik til at høste Kerberos-billetter fra Windows-domænecontrollere. Det er en af ​​de mest effektive måder at opnå forhøjede privilegier i et domænemiljø.

For at løse dette problem skal du nulstille brugerens adgangskode i Active Directory Users and Computers (ADUC). Normalt er disse privilegier eksklusive for administratoren, så du skal kontaktes og anmode om en nulstilling af adgangskoden.

Du kan også støde på Hændelses-id 4771 fejl hvor Kerberos præ-godkendelse er mislykket, så tøv ikke med at tjekke vores guide for mere.

Fortæl os, om du har været i stand til at løse denne fejl i kommentarfeltet nedenfor.