El SIEM alerta: muchos eventos 4625 contra varias cuentas desde una misma IP y luego un 4624 exitoso. ¿Cómo lo investigás?

Primero entiendo el patrón: muchas cuentas con pocos intentos cada una sugiere password spraying; una cuenta con muchos intentos es fuerza bruta clásica. El 4624 posterior es lo crítico: puede ser un acceso exitoso con credenciales adivinadas.

Pasos de triage:

• Origen: ¿la IP es interna o externa? ¿Es un VPN, un servidor de escaneo de vulnerabilidades autorizado o un equipo de usuario? Reviso el inventario y el threat intel.
• Detalle de los 4625: el Status/SubStatus (por ejemplo 0xC000006A contraseña incorrecta, 0xC0000064 usuario inexistente) dice si el atacante tiene una lista de usuarios válida. Logon Type 3 (red) o 10 (RDP) orienta el vector.
• El 4624: qué cuenta, qué Logon Type, desde qué workstation, y si coincide con la IP de los fallos. También eventos 4776 (NTLM) y 4771 (Kerberos) en los DC.
• Actividad posterior: procesos creados (4688 o Sysmon 1), nuevos servicios (7045), accesos a recursos compartidos, otros logons de esa cuenta.
• Contexto de la cuenta: ¿es privilegiada? ¿El usuario estaba trabajando? Confirmo con él por un canal fuera de banda.

Si parece compromiso: escalo, reseteo la contraseña, revoco sesiones/tickets, aíslo el host de destino si hubo actividad sospechosa, y bloqueo la IP si es externa.

Mejoras: MFA, política de bloqueo bien calibrada, deshabilitar NTLM donde se pueda, no exponer RDP a internet y una regla de correlación tipo "N fallos de cuentas distintas desde una IP seguido de éxito en ventana de X minutos".

Cerrar la alerta como fuerza bruta fallida sin mirar el 4624 posterior. Bloquear la IP sin validar si era un escáner autorizado, o no revisar qué hizo la cuenta después del acceso.