Перейти к содержимому
AD Academy
Ко всем событиям
4625Security (DC / client)Аутентификация и входWARNОбновлено:

Неудачный вход

Что это значит

Попытка входа не удалась. Поля Status/Sub Status объясняют причину: 0xC000006A — неверный пароль, 0xC0000064 — пользователя нет, 0xC0000234 — учётка заблокирована.

Когда это норма, а когда подозрительно

Норма: 1–3 неудачи утром после отпуска. Подозрительно: десятки неудач в минуту или один аккаунт, падающий на многих машинах (password spraying).

Первые шаги

  1. 1Расшифруйте Sub Status — он отличает ошибку пользователя от атаки.
  2. 2Много 0xC0000064 с одного источника — перебор имён пользователей.
  3. 3Один пароль по многим учёткам — Password Spray. Блокируйте источник.

Поля, на которые смотреть

ПолеНа что смотреть
Status / Sub Status0xC000006A — неверный пароль, 0xC0000064 — пользователя нет, 0xC0000234 — учётка заблокирована.
Workstation NameС какой машины была попытка — незнакомое имя в домене красный флаг.

Связанные события

Справочник — отправная точка расследования, а не замена политике безопасности вашей организации.