Conceito e funcionamento
O 4625 informa falha de autenticação; Status e SubStatus, quando presentes, ajudam a distinguir tipos de erro. O significado depende do provedor e da política de auditoria. Contagens brutas não representam pessoas únicas nem tentativas de ataque, especialmente diante de serviços com senha antiga e rotinas automatizadas.
Como investigar e correlacionar
Agrupe por conta, host, IP confiável e janela; procure sucesso subsequente e mudanças autorizadas. Examine LogonType e códigos de erro, identifique origem real considerando bastions e tradução de endereço. Correlacione com identidade cloud ou controlador de domínio somente quando houver identificadores e tempos compatíveis.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-1)} -MaxEvents 50ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Uma conta de serviço continua tentando senha expirada enquanto um usuário digita a credencial errada em uma sessão remota.
Procedimento orientado
Agrupe falhas por usuário, resultado e host, confira códigos Status/SubStatus e procure sucesso correlato no mesmo período.
Resultado esperado
O relatório explica por que quantidade de falhas sozinha não define brute force e aponta qual evidência permitiria escalar cada cenário.
Cuidados adicionais
Sem identificar NAT e mecanismos de autenticação, agrupamento por IP pode misturar dezenas de usuários.
Limitações e interpretações incorretas
Falhas repetidas podem resultar de credencial vencida ou aplicações legadas. Um atacante distribuído pode usar múltiplos endereços; agrupamento exclusivo por IP não cobre esse cenário. Não classifique brute force sem contexto e hipótese operacional.
Checklist de validação
- Confirmar emissão no canal correto
- Inspecionar Status e SubStatus
- Correlacionar falhas e sucessos
- Separar origem e alvo
Referências técnicas
Guias para aprofundar
- eventos windows sysmon — aguardando publicação editorial
- triagem alertas severidade escalonamento — aguardando publicação editorial