¿Qué es el ID de evento 4769 y cómo solucionarlo?

Cambie su nivel de autenticación a un tipo de cifrado más seguro

El ID de evento 4769 Kerberoasting es una alerta de seguridad. Este evento se puede usar para detectar la presencia de usuarios maliciosos que intentan usar Kerberos para hacerse pasar por otro usuario o servicio.

Se genera cada vez que se contacta a un DC para validar el token de seguridad. El protocolo de autenticación Kerberos se utiliza para probar la identidad de un cliente que desea acceder a un recurso de red en nombre de un usuario final. Entonces, si detecta este ID de evento en particular, esto es lo que debe hacer.

¿Qué causa el ID de evento 4769?

Este evento indica que el servidor intentó solicitar un vale de servicio de Kerberos para la cuenta de usuario especificada en el Id. de evento. Por lo general, el token de seguridad del usuario se enviaba a un controlador de dominio (DC) para su validación.

Esto puede suceder porque la cuenta de usuario solicitada no está en el dominio o por un error en la base de datos de KDC. Otras razones incluyen:

• El servidor tiene una entrada de base de datos caducada – Este evento se registra cuando un cliente intenta conectarse a un servidor mediante la autenticación Kerberos. El KDC no puede verificar que todavía está en posesión de un boleto TGT válido para el cliente.
• El cliente tiene una entrada caducada en la base de datos. – Cuando la entrada de un cliente haya caducado, se registrará el ID de evento 4769 0x17 de la auditoría de fallas de Kerberos. Esto sucede cuando una computadora cliente no puede renovar su boleto de otorgamiento de boletos (TGT).
• Múltiples entradas – Se genera un ticket de Kerberos para cada principal para identificar al usuario (o servicio) cuando se conectan a otras computadoras en la red. Este ticket contiene información sobre qué servicios pueden usar y a qué tienen acceso después de iniciar sesión.
• Versión de protocolo no compatible – Cuando un cliente intenta conectarse a un servidor utilizando una versión de protocolo anterior, se registra el evento de auditoría de falla de Kerberos 4769. El servidor rechazará el intento de inicio de sesión porque el cliente puede estar usando una versión obsoleta de Kerberos. También es posible que el usuario esté intentando iniciar sesión con una cuenta comprometida.
• Contraseñas débiles – Se produce un Kerberoasting con ID de evento 4769 cuando una entidad malintencionada obtiene y utiliza los tickets de Kerberos de la víctima. Un usuario puede estar realizando un ataque de fuerza bruta en los nombres principales del servicio de un controlador de dominio o pudo obtener y descifrar el ticket de concesión de tickets (TGT) cifrado del objetivo.

¿Cómo puedo arreglar el ID de evento 4769?

1. Elevar el nivel de autenticación

1. Golpea el ventanas + R llaves para abrir el Correr dominio.
2. Tipo gpedit.msc en el cuadro de diálogo y presione Ingresar para abrir el Editor de directivas de grupo.
3. Navegue a la siguiente ubicación: Configuración del equipo/Configuración de Windows/Configuración de seguridad/Políticas locales/Opciones de seguridad
4. Localizar Seguridad de la red: configure los tipos de cifrado permitidos para Kerberos y haga doble clic en él.
5. Bajo la Configuración de seguridad local pestaña, seleccione AES256_HMAC_SHA1, luego seleccione Aplicar y DE ACUERDO.

Es importante cambiar el tipo de cifrado del ticket del Event ID 4769. Esto se debe a que el nivel de autenticación de su algoritmo de cifrado determina la seguridad de su contraseña. Cuanto más fuerte sea la contraseña, más difícil será para alguien piratear sus cuentas en línea.

2. Habilitar auditoría

1. Golpea el ventanas clave, tipo Potencia Shell en la barra de búsqueda y haga clic en Ejecutar como administrador.
2. Escriba el siguiente comando y presione Ingresar: auditpol /set /subcategoría:”inicio de sesión” /fallo: habilitar

Si ha habilitado la auditoría de Kerberos, puede ver este evento. Cuando los usuarios no autorizados intenten iniciar sesión, recibirá una notificación. También enumerará el código de error para los usuarios que intentan obtener tickets utilizando las credenciales de otros usuarios o servicios en su entorno.

A continuación, puede tomar las medidas necesarias para bloquear a los usuarios. Esto es especialmente importante para el código de falla 0x1b de Event ID 4769. Dichos errores pueden ser difíciles de detectar ya que no pasan por la autenticación cliente-servidor.

Leer más sobre este tema

• Error de Hyper-V 0x8009030e: cómo solucionarlo
• Estado del servidor de League of Legends: cuándo y cómo comprobarlo
• Corrección: Id. de evento 4663, se intentó acceder a un objeto

3. Restablecer contraseña de Kerberos

Kerberoasting es una técnica para recolectar vales de Kerberos de los controladores de dominio de Windows. Es una de las formas más efectivas de obtener privilegios elevados en un entorno de dominio.

Para resolver este problema, debe restablecer la contraseña del usuario en Usuarios y equipos de Active Directory (ADUC). Por lo general, estos son privilegios exclusivos del administrador, por lo que debe ponerse en contacto y solicitar un restablecimiento de contraseña.

También puede encontrarse con el Error de ID de evento 4771 donde la autenticación previa de Kerberos ha fallado, así que no dude en consultar nuestra guía para obtener más información.

Háganos saber si ha podido resolver este error en la sección de comentarios a continuación.