612 lần đăng nhập sai trong một giờ: đọc Event ID 4625 để phân biệt tấn công và… máy cũ
Tóm tắt
Event ID 4625 là log “đăng nhập thất bại” trên Windows. Rất nhiều 4625 từ một nguồn có thể là brute force — nhưng cũng có thể chỉ là một máy, dịch vụ hay tác vụ định kỳ vẫn dùng mật khẩu cũ. Phân tích đúng các trường trong log giúp tránh báo động giả.
Một tình huống quen thuộc
Nửa đêm, một tài khoản đăng nhập sai hàng trăm lần. Lần theo IP thì nguồn là một máy cũ trong văn phòng: chủ tài khoản vừa đổi mật khẩu, còn máy cũ vẫn tự đăng nhập bằng mật khẩu cũ. Nghề SOC phần lớn là phân biệt những trường hợp như vậy với tấn công thật.
Các trường cần đọc
| Trường | Ý nghĩa |
|---|---|
| Account Name | Tài khoản bị thử — tài khoản admin/domain admin cần ưu tiên |
| Source Network Address | IP nguồn — nội bộ hay từ Internet? |
| Logon Type | Kiểu đăng nhập: mạng, tương tác, RDP, dịch vụ… |
| Status / Sub Status | Lý do thất bại: sai mật khẩu, tài khoản không tồn tại, bị khoá, lệch giờ với DC… |
| Workstation / Process | Máy và tiến trình gửi yêu cầu — dịch vụ hay người dùng? |
Brute force hay cấu hình sai?
| Dấu hiệu tấn công | Dấu hiệu cấu hình sai / mật khẩu cũ |
|---|---|
| Nhiều tài khoản khác nhau từ một IP (password spraying) | Luôn đúng một tài khoản, từ một máy cố định |
| IP lạ, từ Internet | IP nội bộ, máy quen |
| Tên tài khoản không tồn tại | Nhịp đều đặn, khớp lịch dịch vụ hoặc tác vụ định kỳ |
| Sau đó có 4624 (đăng nhập thành công) từ cùng nguồn | Mới đổi mật khẩu hoặc hết hạn mật khẩu service account |
Quy trình triage gợi ý
- Xác định lý do thất bại (Status/Sub Status) và tài khoản bị nhắm.
- Ưu tiên tài khoản đặc quyền; xác định IP nguồn nội bộ hay bên ngoài.
- Tìm cảnh báo khác liên quan tới cùng user/máy trong 48 giờ.
- Kiểm tra xem thông tin đăng nhập có được dùng bởi dịch vụ hoặc tác vụ định kỳ không; hỏi chủ tài khoản.
- Tìm 4624 thành công từ nguồn đó — dấu hiệu có thể đã bị chiếm tài khoản.
- Nếu là tấn công: cô lập máy, đặt lại mật khẩu, quét malware, xử lý điểm xâm nhập ban đầu.
Tham khảo: Elastic – Multiple Logon Failure from the same Source Address