Conceito e funcionamento
O evento 4624 não significa que um usuário iniciou sessão gráfica. Tipos de logon de rede, serviço e batch podem ser produzidos por serviços legítimos. A plataforma registra campos como TargetUserName, TargetLogonId e LogonType, sujeitos a versão e configuração. Consulte o canal Security e a política de auditoria efetivamente habilitada.
Como investigar e correlacionar
Construa timeline por host, conta, LogonType, origem e intervalo; relacione falhas anteriores, privilégio da conta e eventos de processo quando existirem. Verifique se o registro veio da máquina destino ou de infraestrutura de autenticação. Utilize Logon ID no contexto do mesmo host e boot para pivôs, sem presumir unicidade global.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-2)} -MaxEvents 30 | Select TimeCreated,RecordId,MachineNameESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Em uma estação de laboratório, uma conta de serviço autentica pela rede durante backup e uma conta humana faz login interativo depois da janela.
Procedimento orientado
Gere registros autorizados e compare LogonType, TargetUserName, computador e horários; associe o evento ao job de backup documentado.
Resultado esperado
O participante deve diferenciar as duas modalidades e citar evento bruto, contexto do ativo e fonte de aprovação, sem classificar a conta de serviço como invasão.
Cuidados adicionais
Se a política de auditoria estiver desabilitada, a falta de 4624 não permite concluir que nenhuma sessão ocorreu.
Limitações e interpretações incorretas
Login bem-sucedido não demonstra intenção, MFA ou pessoa física por trás da sessão. Endereço de origem pode estar ausente ou refletir NAT/proxy. Ausência de evento em outro componente pode decorrer de cobertura, rotação ou política de auditoria.
Checklist de validação
- Verificar Audit Logon habilitado
- Comparar LogonType e TargetUserName
- Associar ao ativo e à janela UTC
- Registrar consulta e identificador do evento
Referências técnicas
Guias para aprofundar
- eventos windows sysmon — aguardando publicação editorial