Hva er Event ID 4769 og hvordan fikser jeg det ?

Endre autentiseringsnivået til en sikrere krypteringstype

Event ID 4769 Kerberoasting er et sikkerhetsvarsel. Denne hendelsen kan brukes til å oppdage tilstedeværelsen av ondsinnede brukere som prøver å bruke Kerberos for å utgi seg for en annen bruker eller tjeneste.

Den genereres hver gang en DC kontaktes for å validere sikkerhetstokenet. Kerberos-autentiseringsprotokollen brukes til å bevise identiteten til en klient som ønsker å få tilgang til en nettverksressurs på vegne av en sluttbruker. Så hvis du ser denne spesielle hendelses-IDen, er dette hva du bør gjøre.

Hva forårsaker hendelses-ID 4769?

Denne hendelsen indikerer at serveren forsøkte å be om en Kerberos-tjenestebillett for brukerkontoen angitt i hendelses-IDen. Vanligvis ble brukerens sikkerhetstoken sendt til en domenekontroller (DC) for validering.

Dette kan skje fordi den forespurte brukerkontoen ikke er i domenet eller på grunn av en feil i KDC-databasen. Andre årsaker inkluderer:

• Serveren har en utløpt databaseoppføring – Denne hendelsen logges når en klient prøver å koble til en server ved hjelp av Kerberos-autentisering. KDC kan ikke bekrefte at den fortsatt er i besittelse av en gyldig TGT-billett for klienten.
• Klienten har en utløpt oppføring i databasen – Når en klients oppføring har utløpt, vil Kerberos-feilrevisjon Event ID 4769 0x17 bli registrert. Dette skjer når en klientdatamaskin ikke kan fornye billetten sin (TGT).
• Flere oppføringer – En Kerberos-billett genereres for hver oppdragsgiver for å identifisere brukeren (eller tjenesten) når de kobler til andre datamaskiner på nettverket. Denne billetten inneholder informasjon om hvilke tjenester de kan bruke og hva de har tilgang til etter at de logger på.
• Ustøttet protokollversjon – Når en klient prøver å koble til en server ved hjelp av en gammel protokollversjon, logges Kerberos-feilrevisjonshendelsen 4769 på. Serveren vil avvise påloggingsforsøket fordi klienten kan bruke en utdatert versjon av Kerberos. Det er også mulig at brukeren prøver å logge på med en kompromittert konto.
• Svake passord – En Event ID 4769 Kerberoasting oppstår når en ondsinnet enhet skaffer seg og bruker offerets Kerberos-billetter. En bruker kan utføre et brute-force-angrep på tjenestens hovednavn til en domenekontroller eller var i stand til å skaffe og dekryptere målets krypterte billetttildelingsbillett (TGT).

Hvordan kan jeg fikse hendelses-ID 4769?

1. Øk autentiseringsnivået

1. Slå den Windows + R tastene for å åpne Løpe kommando.
2. Type gpedit.msc i dialogboksen og trykk Tast inn å åpne Redaktør for gruppepolicy.
3. Naviger til følgende plassering: Datamaskinkonfigurasjon/Windows-innstillinger/ Sikkerhetsinnstillinger/Lokale retningslinjer/Sikkerhetsalternativer
4. Lokaliser Nettverkssikkerhet: Konfigurer krypteringstyper som er tillatt for Kerberos, og dobbeltklikk på den.
5. Under Lokale sikkerhetsinnstillinger fanen, velg AES256_HMAC_SHA1, og velg deretter Søke om og OK.

Det er viktig å endre krypteringstypen Event ID 4769 billett. Dette er fordi autentiseringsnivået til krypteringsalgoritmen bestemmer styrken på passordet ditt. Jo sterkere passordet er, desto vanskeligere er det for noen å hacke seg inn på nettkontoene dine.

2. Aktiver revisjon

1. Slå den Windows nøkkel, skriv Kraftskall i søkefeltet, og klikk Kjør som administrator.
2. Skriv inn følgende kommando og trykk Tast inn: auditpol /set /subcategory:”logon” /failure: aktiver

Hvis du har aktivert Kerberos-revisjon, kan du se denne hendelsen. Når uautoriserte brukere prøver å logge på, får du et varsel. Den vil også vise feilkoden for brukere som prøver å skaffe billetter ved å bruke legitimasjonen til andre brukere eller tjenester i miljøet ditt.

Du kan deretter ta de nødvendige trinnene for å blokkere brukerne. Dette er spesielt viktig for hendelses-ID 4769-feilkoden 0x1b. Slike feil kan være vanskelige å oppdage siden de ikke går gjennom klient-server-autentisering.

Les mer om dette emnet

• Hyper-V-feil 0x8009030e: Slik fikser du det
• League of Legends-serverstatus: Når og hvordan du sjekker det
• Fix: Hendelses-ID 4663, et forsøk ble gjort for å få tilgang til et objekt

3. Tilbakestill Kerberos-passordet

Kerberoasting er en teknikk for å høste Kerberos-billetter fra Windows-domenekontrollere. Det er en av de mest effektive måtene å få forhøyede privilegier i et domenemiljø.

For å løse dette problemet må du tilbakestille brukerens passord i Active Directory Users and Computers (ADUC). Vanligvis er dette privilegier eksklusive for administratoren, så du må ta kontakt og be om tilbakestilling av passord.

Du kan også støte på Feil ved hendelses-ID 4771 der Kerberos forhåndsgodkjenning har mislyktes, så ikke nøl med å sjekke ut guiden vår for mer.

Gi oss beskjed om du har klart å løse denne feilen i kommentarfeltet nedenfor.