O que é o ID de evento 4769 e como corrigi-lo?

Altere seu nível de autenticação para um tipo de criptografia mais seguro

A ID de evento 4769 Kerberoasting é um alerta de segurança. Esse evento pode ser usado para detectar a presença de usuários mal-intencionados que estão tentando usar o Kerberos para representar outro usuário ou serviço.

Ele é gerado toda vez que um DC é contatado para validar o token de segurança. O protocolo de autenticação Kerberos é usado para provar a identidade de um cliente que deseja acessar um recurso de rede em nome de um usuário final. Portanto, se você identificar esse ID de evento específico, eis o que deve fazer.

O que causa a ID de evento 4769?

Este evento indica que o servidor tentou solicitar um tíquete de serviço Kerberos para a conta de usuário especificada na ID do evento. Normalmente, o token de segurança do usuário era enviado a um controlador de domínio (DC) para validação.

Isso pode acontecer porque a conta de usuário solicitada não está no domínio ou devido a um erro no banco de dados KDC. Outras razões incluem:

• O servidor tem uma entrada de banco de dados expirada – Este evento é registrado quando um cliente tenta se conectar a um servidor usando a autenticação Kerberos. O KDC não pode verificar se ainda possui um bilhete TGT válido para o cliente.
• O cliente tem uma entrada expirada no banco de dados – Quando a entrada de um cliente expirar, a ID de evento de auditoria de falha Kerberos 4769 0x17 será registrada. Isso acontece quando um computador cliente não consegue renovar seu tíquete de concessão de tíquete (TGT).
• Múltiplas entradas – Um tíquete Kerberos é gerado para cada principal para identificar o usuário (ou serviço) quando ele se conecta a outros computadores na rede. Este tíquete contém informações sobre quais serviços eles podem usar e a que têm acesso após o login.
• Versão de protocolo incompatível – Quando um cliente tenta se conectar a um servidor usando uma versão de protocolo antiga, o evento de auditoria de falha Kerberos 4769 é registrado. O servidor rejeitará a tentativa de login porque o cliente pode estar usando uma versão desatualizada do Kerberos. Também é possível que o usuário esteja tentando fazer login com uma conta comprometida.
• senhas fracas – Um Kerberoasting de ID de evento 4769 ocorre quando uma entidade maliciosa obtém e usa os tíquetes Kerberos da vítima. Um usuário pode estar realizando um ataque de força bruta nos nomes principais de serviço de um controlador de domínio ou conseguiu obter e descriptografar o tíquete de concessão de tíquete (TGT) criptografado do alvo.

Como posso corrigir o ID de evento 4769?

1. Aumente o nível de autenticação

1. Acerte o janelas + R chaves para abrir o Correr comando.
2. Tipo gpedit.msc na caixa de diálogo e clique Digitar para abrir o Editor de política de grupo.
3. Navegue até o seguinte local: Configuração do computador/Configurações do Windows/Configurações de segurança/Políticas locais/Opções de segurança
4. Localizar Segurança de rede: Configure os tipos de criptografia permitidos para Kerberos e clique duas vezes nele.
5. Debaixo de Configurações de segurança local guia, selecione AES256_HMAC_SHA1, em seguida, selecione Aplicar e OK.

É importante alterar o tipo de criptografia do tíquete Event ID 4769. Isso ocorre porque o nível de autenticação do seu algoritmo de criptografia determina a força da sua senha. Quanto mais forte a senha, mais difícil será para alguém invadir suas contas online.

2. Ativar auditoria

1. Acerte o janelas Tipo de chave Powershell na barra de pesquisa e clique em Executar como administrador.
2. Digite o seguinte comando e aperte Digitar: auditpol /set /subcategoria:”logon” /falha: habilitar

Se você habilitou a auditoria Kerberos, poderá ver este evento. Quando usuários não autorizados tentarem fazer login, você receberá uma notificação. Ele também listará o código de erro para usuários que tentam obter tickets usando as credenciais de outros usuários ou serviços em seu ambiente.

Você pode então tomar as medidas necessárias para bloquear os usuários. Isso é especialmente importante para o código de falha 0x1b da ID de evento 4769. Esses erros podem ser difíceis de detectar, pois não passam pela autenticação cliente-servidor.

Leia mais sobre este tópico

• Erro Hyper-V 0x8009030e: como corrigi-lo
• Status do servidor League of Legends: quando e como verificar
• Correção: ID do evento 4663, foi feita uma tentativa de acessar um objeto

3. Redefinir senha do Kerberos

Kerberoasting é uma técnica para coletar tíquetes Kerberos de controladores de domínio do Windows. É uma das formas mais eficazes de obter privilégios elevados em um ambiente de domínio.

Para resolver esse problema, você deve redefinir a senha do usuário em Usuários e computadores do Active Directory (ADUC). Normalmente, esses são privilégios exclusivos do administrador, por isso você precisa entrar em contato e solicitar a redefinição de senha.

Você também pode encontrar o ID do evento 4771 erro onde a pré-autenticação do Kerberos falhou, então não hesite em conferir nosso guia para saber mais.

Informe-nos se você conseguiu resolver esse erro na seção de comentários abaixo.