Nos Logs de Segurança do Windows vemos muitos eventos de Logon e Logoff. A dúvida que sempre fica é: Qual destes eventos de Logon se refere a um logon local? remoto? de sistema? etc...
Como fazemos para descobrir quem fez um logon remoto em um servidor ou estação num determinado dia ou hora?
A resposta é simples, se usarmos as informações abaixo:
Identificações de evento 528 e 540 significam um logon bem-sucedido, o evento ID 538 um logoff e todos os outros eventos nesta categoria identificam razões diferentes para uma falha de logon. Sabendo disso, filtre seu Log de Eventos procurando pelos IDs 528 e 540.
Na descrição do evento, busque pelo TIPO DE LOGON. Ele identificará qual a origem do logon, veja abaixo:
Logon Tipo 2 - Interactivo
Esse tipo de logon se dá quando o usuário faz logon usando teclado e tela locais com uma conta de domínio ou uma conta local.
Logon Tipo 3 - Rede
Ocorre quando se acessa a estação ou servidor de algum lugar da rede como por exemplo o acesso a pastas compartilhadas ou impressoras.
Logon Tipo 4 - Lote
Quando o Windows executa uma tarefa agendada, o serviço de tarefas agendadas primeiro cria uma nova sessão de logon para a tarefa para que ele possa ser executado sob a autoridade da conta do usuário especificado quando a tarefa foi criada. Quando isso ocorre tentativa de logon, o Windows registra o tipo de logon 4. Ocorre também com softwares desenvolvidos que precisam se logar no sistema por alguma razão (provavelmnete para startar alguma ação no sistema).
Logon Tipo 5 - Serviço
Semelhante a Tarefas Agendadas, cada serviço é configurado para executar com uma conta de usuário especificada. Quando um serviço é iniciado, o Windows cria primeiro uma sessão de logon para a conta do usuário especificado o que resulta em um evento de Logon / Logoff com o tipo de logon 5.
Logon Tipo 7 - Unlock
Esse tipo de logon é registrado quando o usuário desbloqueia uma estação bloqueada ou com screen saver que requer senha.
Tipo de logon 8 - NetworkCleartext
Este tipo de logon indica um logon na rede como o tipo de logon 3, mas onde a senha foi enviada pela rede em texto claro. Um exmplo prático e o mais comum desse tipo de logon é quando digitamos usuário e senha em sistemas web que utilizam autenticação básica e sem criptografia (SSL).
Tipo de logon 9 - NewCredentials
Se você usar o comando runas para iniciar um programa em uma conta de usuário diferente e especificar a opção / netonly, o Windows grava um evento de logon / logoff com o tipo de logon 9. Quando você inicia um programa com RunAs usando / netonly, o programa é executado no computador local com o usuário que estiver conectado no momento, mas como para qualquer conexão para outros computadores na rede, o Windows liga-o aos computadores usando a conta especificada no comando runas. Sem / netonly o Windows executa o programa no computador local e na rede como o usuário especificado e registra o evento de início de sessão com o tipo de logon 2.
Tipo de logon 10 - RemoteInteractive
Quando você acessar um computador através de Terminal Services, Windows Remote Desktop ou Remote Assistance registra a tentativa de logon com o tipo de logon 10, que torna mais fácil distinguir a verdadeira fonte dos logons de uma sessão do desktop remoto. Note no entanto que, antes de XP, Windows 2000 não utilizam o mesmo tipo de logon 10 e inícios de sessão de serviços de terminal são relatados como tipo de logon 2.
Tipo de logon 11 - CachedInteractive
O Windows suporta um recurso chamado cache Logons que facilitam a usuários móveis. Quando você não está conectado à rede da sua organização e tentar fazer logon no seu computador portátil com uma conta de domínio e não há nenhum controlador de domínio disponível para o portátil verificar a sua identidade. Para resolver esse problema, o Windows armazena um hash das credenciais dos últimos 10 domain logons interativos. Mais tarde, quando nenhum controlador de domínio está disponível, o Windows usa esses hashes para verificar sua identidade quando você tenta fazer logon com uma conta de domínio.
---------------------------------------------------------------------------------------------------------------------------------------
Por enquanto é só...
Rutenio Dantas
