37
Eventos de Windows — beta
Eventos de Windows — vista general
La página Eventos de Windows analiza los registros de seguridad de Windows recogidos por los agentes de Fleet: inicios de sesión, cambios de cuentas y grupos, uso de privilegios, Kerberos y eventos críticos. FlowPro evalúa 18 detecciones de ataques sobre los datos cada 2 minutos y envía las coincidencias al Centro de eventos.
- •Rangos predefinidos (1 h – 30 días) o personalizado hasta 90 días; todos los filtros forman parte de la URL
- •Perfil de usuario o equipo: actividad, equipos / usuarios, IP origen, tipos de inicio, detecciones, contexto de Active Directory y activos
- •Haga clic en una fila para ver todos los campos y pasar a Active Directory, al activo, al Explorador de registros o a las herramientas de red
Recogida de registros de Windows
Instale el agente Elastic
Instale el agente de Fleet en los controladores de dominio y servidores importantes (Infraestructura → Agentes) en una directiva de Windows.
Active los canales
En Fuentes de datos un administrador ve las directivas de Windows y qué canales de la integración System (entrada winlog) están activos. Activar recogida activa Security, System y Application solo en la directiva elegida; las directivas Linux no se tocan.
Configure la directiva de auditoría
Windows solo registra lo que permite la directiva de auditoría. Directiva avanzada recomendada para controladores de dominio (GPO «Default Domain Controllers Policy»):
Account Logon: Credential Validation, Kerberos Authentication Service,
Kerberos Service Ticket Operations Success, Failure
Account Management: User / Security Group Management Success
Logon/Logoff: Logon, Account Lockout, Special Logon Success, Failure
DS Access: Directory Service Access, Changes Success
Policy Change: Audit Policy Change Success
System: Security System Extension Success
PowerShell: Turn on Script Block Logging (Administrative Templates)Inicios de sesión
Inicios correctos (4624) y fallidos (4625) con tipo de inicio, motivo del fallo (SubStatus) e IP origen. Filtre por resultado, tipo, usuario, equipo o IP; haga clic en un tipo o IP de los paneles para filtrar.
| Tipo | Significado |
|---|---|
| 2 | Interactivo (consola) |
| 3 | Red (recursos compartidos, la mayoría de servicios) |
| 5 | Inicio de servicio |
| 10 | Escritorio remoto (RDP) |
| 11 | Credenciales en caché (portátil sin red) |
Cambios de cuentas y grupos
Cambios de cuentas (4720 creación, 4722/4725 habilitar/deshabilitar, 4723/4724 contraseña, 4726 eliminación, 4740 bloqueo, 4781 renombrado, 4794 DSRM) y de pertenencia a grupos (4728/4732/4756 añadido, 4729/4733/4757 eliminado). Los grupos privilegiados llevan una corona: se reconocen por SID conocido y por Active Directory.
Privilegios
Inicios con privilegios especiales (4672) y operaciones privilegiadas (4673, 4674). Las cuentas de equipo (…$) y los servicios integrados se ocultan por defecto, por lo que la lista muestra personas con derechos de administrador.
Kerberos
Solicitudes de TGT (4768), tickets de servicio (4769) y fallos de preautenticación (4771) con tipo de cifrado. RC4 (0x17) y DES no deberían aparecer en un dominio moderno: la tarjeta Cifrado débil los filtra; las cuentas que piden RC4 se listan aparte.
Eventos críticos
Eventos con los que un atacante oculta rastros o persiste: borrado del registro Security (1102), borrado del registro System (104), cambio de directiva de auditoría (4719), instalación de servicio (7045 en System, 4697) y contraseña DSRM (4794).
Detecciones
FlowPro evalúa las detecciones cada 2 minutos (un proceso). Las detecciones agregadas observan una ventana deslizante y para la misma IP / usuario se repiten solo tras el tiempo de espera (60 min por defecto); las de evento único notifican cada nueva aparición. Cada coincidencia es un evento en el Centro de eventos con técnica MITRE ATT&CK: los playbooks y canales de notificación pueden reaccionar y la página MITRE muestra Windows como fuente.
| Detección | Condición | MITRE |
|---|---|---|
| Fuerza bruta | ≥ 10 inicios fallidos desde una IP en 10 min | T1110 |
| Password spraying | una IP, ≥ 8 cuentas distintas en 15 min | T1110.003 |
| Inicio tras fallos | ≥ 5 fallos y luego un éxito desde la misma IP | T1110 |
| Pico de bloqueos | ≥ 5 bloqueos (4740) en 10 min | T1110 |
| Kerberoasting | una cuenta, tickets RC4/DES para ≥ 5 servicios (sin krbtgt ni equipos) | T1558.003 |
| AS-REP roasting | TGT emitido con PreAuthType 0 | T1558.004 |
| DCSync | 4662 con GUID de replicación de una cuenta que no es controlador | T1003.006 |
| Cambio en grupo privilegiado | miembro añadido a Domain Admins, Administrators, … (SID / AD) | T1098 |
| Cuenta creada / eliminada | 4720 / 4726 | T1136.002 / T1531 |
| Registro borrado | 1102 / 104 | T1070.001 |
| Cambio de directiva de auditoría | 4719 por una persona | T1562.002 |
| Nuevo servicio | 7045 / 4697 | T1543.003 |
| Contraseña DSRM | 4794 | T1098 |
| Admin fuera de horario | inicio interactivo / RDP de una cuenta privilegiada fuera de horario o en fin de semana | T1078.002 |
| RDP desde internet | inicio tipo 10 desde una IP pública | T1021.001 |
| PowerShell sospechoso | 4104 con descarga y ejecución, comando codificado, evasión de AMSI, Mimikatz | T1059.001 |
| Tarea programada (desactivada) | 4698 | T1053.005 |
Ajuste
Los administradores activan y desactivan detecciones, cambian umbrales y definen exclusiones (cuentas, IP, equipos — una por línea, * final = prefijo), cuentas de administrador adicionales para la detección fuera de horario (las cuentas privilegiadas de AD se incluyen automáticamente), horario laboral, tiempo de espera, gravedad mínima y notificaciones. Ejecutar ahora evalúa de inmediato (analista y administrador).
Fuentes de datos
Estado de la recogida: último evento de seguridad, agentes Windows en línea en Fleet y si envían datos, canales con número de eventos, equipos con su último evento y las directivas de Fleet para Windows con el estado de cada canal. Si los agentes están en línea pero no llega ningún evento de seguridad en el límite (6 h por defecto), se crea un evento en el Centro de eventos.
Integración con otros módulos
| Módulo | Vínculo |
|---|---|
| Centro de eventos, playbooks | fuente «Eventos de Windows»; el botón del evento abre el perfil del usuario o equipo |
| Active Directory | cuentas y grupos privilegiados, tarjeta de AD en perfiles, enlace desde usuarios y equipos de AD |
| MITRE ATT&CK | fuente «Windows»: apariciones de técnicas y cobertura de las detecciones activas |
| Activos, Explorador de registros, herramientas de red | enlaces desde cada evento y perfil |
Solución de problemas
| Problema | Solución |
|---|---|
| Aviso «Aún no se han recibido eventos de seguridad» | Active el canal Security en Fuentes de datos y revise el estado del agente en Fleet. |
| Hay inicios de sesión pero faltan cambios de grupos / Kerberos | La directiva de auditoría no los registra: vea Recogida de registros → directiva de auditoría (controladores). |
| PowerShell sospechoso nunca salta | Requiere la integración Windows (canal PowerShell Operational) y Script Block Logging. |
| Demasiadas detecciones de un escáner o cuenta de servicio | Añada la IP / cuenta a las exclusiones en Detecciones. |
| Usuarios / equipos muestran 0 aunque hay eventos | Una plantilla antigua «flowpro-logs» anulaba los mapeos de Fleet; la actualización la elimina y el siguiente índice de cada flujo tiene los campos correctos. |