Was ist die Ereignis-ID 4769 und wie kann ich sie beheben?

Ändern Sie Ihre Authentifizierungsebene auf einen sichereren Verschlüsselungstyp

Die Ereignis-ID 4769 Kerberoasting ist eine Sicherheitswarnung. Dieses Ereignis kann verwendet werden, um das Vorhandensein böswilliger Benutzer zu erkennen, die versuchen, Kerberos zu verwenden, um sich als ein anderer Benutzer oder Dienst auszugeben.

Es wird jedes Mal generiert, wenn ein DC kontaktiert wird, um das Sicherheitstoken zu validieren. Das Kerberos-Authentifizierungsprotokoll wird verwendet, um die Identität eines Clients nachzuweisen, der im Namen eines Endbenutzers auf eine Netzwerkressource zugreifen möchte. Wenn Sie also diese bestimmte Ereignis-ID entdecken, sollten Sie Folgendes tun.

Was verursacht die Ereignis-ID 4769?

Dieses Ereignis zeigt an, dass der Server versucht hat, ein Kerberos-Dienstticket für das in der Ereignis-ID angegebene Benutzerkonto anzufordern. Normalerweise wurde das Sicherheitstoken des Benutzers zur Validierung an einen Domänencontroller (DC) gesendet.

Dies kann passieren, weil sich das angeforderte Benutzerkonto nicht in der Domäne befindet oder aufgrund eines Fehlers in der KDC-Datenbank. Weitere Gründe sind:

• Der Server hat einen abgelaufenen Datenbankeintrag – Dieses Ereignis wird protokolliert, wenn ein Client versucht, mithilfe der Kerberos-Authentifizierung eine Verbindung zu einem Server herzustellen. Das KDC kann nicht überprüfen, ob es noch im Besitz eines gültigen TGT-Tickets für den Kunden ist.
• Client hat einen abgelaufenen Eintrag in der Datenbank – Wenn der Eintrag eines Clients abgelaufen ist, wird die Kerberos-Fehlerprüfung Ereignis-ID 4769 0x17 aufgezeichnet. Dies geschieht, wenn ein Clientcomputer sein Ticket-Granting-Ticket (TGT) nicht erneuern kann.
• Mehrfache Einträge – Für jeden Prinzipal wird ein Kerberos-Ticket generiert, um den Benutzer (oder Dienst) zu identifizieren, wenn er sich mit anderen Computern im Netzwerk verbindet. Dieses Ticket enthält Informationen darüber, welche Dienste sie nutzen können und worauf sie nach der Anmeldung Zugriff haben.
• Nicht unterstützte Protokollversion – Wenn ein Client versucht, mit einer alten Protokollversion eine Verbindung zu einem Server herzustellen, wird das Kerberos-Fehlerüberwachungsereignis 4769 protokolliert. Der Server lehnt den Anmeldeversuch ab, da der Client möglicherweise eine veraltete Version von Kerberos verwendet. Es ist auch möglich, dass der Benutzer versucht, sich mit einem kompromittierten Konto anzumelden.
• Schwache Passwörter – Eine Ereignis-ID 4769 Kerberoasting tritt auf, wenn eine böswillige Entität die Kerberos-Tickets des Opfers erhält und verwendet. Ein Benutzer führt möglicherweise einen Brute-Force-Angriff auf die Dienstprinzipalnamen eines Domänencontrollers durch oder konnte das verschlüsselte Ticket-Granting-Ticket (TGT) des Ziels abrufen und entschlüsseln.

Wie kann ich die Ereignis-ID 4769 beheben?

1. Erhöhen Sie die Authentifizierungsebene

1. Schlagen Sie die Fenster + R Schlüssel zum Öffnen Laufen Befehl.
2. Typ gpedit.msc in das Dialogfeld und klicken Sie auf Eingeben die zu öffnen Gruppenrichtlinien-Editor.
3. Navigieren Sie zum folgenden Ort: Computerkonfiguration/Windows-Einstellungen/Sicherheitseinstellungen/Lokale Richtlinien/Sicherheitsoptionen
4. Lokalisieren Netzwerksicherheit: Konfigurieren Sie die für Kerberos zulässigen Verschlüsselungstypen und doppelklicken Sie darauf.
5. Unter dem Lokale Sicherheitseinstellungen Registerkarte, auswählen AES256_HMAC_SHA1, dann auswählen Anwenden Und OK.

Es ist wichtig, den Verschlüsselungstyp des Tickets mit Ereignis-ID 4769 zu ändern. Dies liegt daran, dass die Authentifizierungsebene Ihres Verschlüsselungsalgorithmus die Stärke Ihres Passworts bestimmt. Je stärker das Passwort, desto schwieriger ist es für jemanden, sich in Ihre Online-Konten zu hacken.

2. Überwachung aktivieren

1. Schlagen Sie die Fenster Schlüsselart Power Shell in der Suchleiste und klicken Sie auf Als Administrator ausführen.
2. Geben Sie den folgenden Befehl ein und klicken Sie Eingeben: auditpol /set /subcategory:”logon” /failure: enable

Wenn Sie die Kerberos-Überwachung aktiviert haben, können Sie dieses Ereignis sehen. Wenn nicht autorisierte Benutzer versuchen, sich anzumelden, erhalten Sie eine Benachrichtigung. Es listet auch den Fehlercode für Benutzer auf, die versuchen, Tickets mit den Anmeldeinformationen anderer Benutzer oder Dienste in Ihrer Umgebung zu erhalten.

Sie können dann die erforderlichen Schritte unternehmen, um die Benutzer zu blockieren. Dies ist besonders wichtig für den Ereignis-ID 4769-Fehlercode 0x1b. Solche Fehler können schwer zu erkennen sein, da sie keine Client-Server-Authentifizierung durchlaufen.

Lesen Sie mehr zu diesem Thema

• Hyper-V-Fehler 0x8009030e: So beheben Sie ihn
• League of Legends-Serverstatus: Wann und wie man ihn überprüft
• Fix: Ereignis-ID 4663, Es wurde versucht, auf ein Objekt zuzugreifen

3. Kerberos-Passwort zurücksetzen

Kerberoasting ist eine Technik zum Sammeln von Kerberos-Tickets von Windows-Domänencontrollern. Dies ist eine der effektivsten Methoden, um erhöhte Berechtigungen in einer Domänenumgebung zu erlangen.

Um dieses Problem zu beheben, müssen Sie das Kennwort des Benutzers in Active Directory-Benutzer und -Computer (ADUC) zurücksetzen. Normalerweise sind dies Privilegien, die ausschließlich dem Administrator vorbehalten sind, also müssen Sie sich mit ihm in Verbindung setzen und ein Zurücksetzen des Passworts anfordern.

Sie können auch auf die stoßen Fehler mit Ereignis-ID 4771 wo die Kerberos-Vorauthentifizierung fehlgeschlagen ist, zögern Sie also nicht, unseren Leitfaden für weitere Informationen zu lesen.

Teilen Sie uns im Kommentarbereich unten mit, ob Sie diesen Fehler beheben konnten.