612 lần đăng nhập sai trong một giờ: đọc Event ID 4625 để phân biệt tấn công và… máy cũ
Tóm tắt
Event ID 4625 là log “đăng nhập thất bại” trên Windows. Rất nhiều 4625 từ một nguồn có thể là brute force — nhưng cũng có thể chỉ là một máy, dịch vụ hay tác vụ định kỳ vẫn dùng mật khẩu cũ. Phân tích đúng các trường trong log giúp tránh báo động giả.
Nửa đêm, hệ thống cảnh báo: một tài khoản vừa đăng nhập sai 612 lần trong một giờ. Phản xạ đầu tiên là “brute force!” — nhưng lần theo IP nguồn thì hoá ra là một máy cũ trong văn phòng. Chủ tài khoản vừa đổi mật khẩu, còn máy cũ vẫn tự động đăng nhập bằng mật khẩu cũ. Một phần lớn công việc của SOC là phân biệt những trường hợp như vậy với tấn công thật, và công cụ đầu tiên là hiểu Event ID 4625 — log “đăng nhập thất bại” trên Windows.
Các trường cần đọc
| Trường | Ý nghĩa |
|---|---|
| Account Name | Tài khoản bị thử — tài khoản admin/domain admin cần ưu tiên |
| Source Network Address | IP nguồn — nội bộ hay từ Internet? |
| Logon Type | Kiểu đăng nhập: mạng, tương tác, RDP, dịch vụ… |
| Status / Sub Status | Lý do thất bại: sai mật khẩu, tài khoản không tồn tại, bị khoá, lệch giờ với DC… |
| Workstation / Process | Máy và tiến trình gửi yêu cầu — dịch vụ hay người dùng? |
Hai trường dễ bị bỏ qua nhưng rất hữu ích là Logon Type (ví dụ RDP từ Internet đáng ngờ hơn nhiều so với đăng nhập dịch vụ nội bộ) và Sub Status (phân biệt “sai mật khẩu” với “tài khoản không tồn tại” — dạng sau thường gặp khi kẻ tấn công dò tên người dùng).
Brute force hay cấu hình sai?
| Dấu hiệu tấn công | Dấu hiệu cấu hình sai / mật khẩu cũ |
|---|---|
| Nhiều tài khoản khác nhau từ một IP (password spraying) | Luôn đúng một tài khoản, từ một máy cố định |
| IP lạ, từ Internet | IP nội bộ, máy quen |
| Tên tài khoản không tồn tại | Nhịp đều đặn, khớp lịch dịch vụ hoặc tác vụ định kỳ |
| Sau đó có 4624 (đăng nhập thành công) từ cùng nguồn | Mới đổi mật khẩu hoặc hết hạn mật khẩu của service account |
Quy trình triage gợi ý
- Xác định lý do thất bại (Status/Sub Status) và tài khoản bị nhắm.
- Ưu tiên tài khoản đặc quyền; xác định IP nguồn nội bộ hay bên ngoài.
- Tìm cảnh báo khác liên quan tới cùng user/máy trong 48 giờ.
- Kiểm tra xem thông tin đăng nhập có được dùng bởi dịch vụ hoặc tác vụ định kỳ không; hỏi chủ tài khoản.
- Tìm 4624 thành công từ nguồn đó — dấu hiệu có thể đã bị chiếm tài khoản.
- Nếu là tấn công: cô lập máy, đặt lại mật khẩu, quét malware, xử lý điểm xâm nhập ban đầu.
Truy vấn ý tưởng
Dù dùng SIEM nào, ý tưởng tìm kiếm tương tự: gom 4625 theo tài khoản và IP nguồn, đếm theo khoảng thời gian, rồi nhìn phân bố.
event.code: 4625
| group by source.ip, user.name, winlog.event_data.SubStatus
| count per 5m
# Hỏi: một IP nhiều user? một user nhiều IP? nhịp đều hay thành cơn?Tinh chỉnh để giảm báo động giả
- Lập danh sách IP/máy nội bộ đã biết (máy quét, hệ thống giám sát) và xử lý riêng.
- Theo dõi lịch đổi mật khẩu và hết hạn của service account; gắn nhãn khi cảnh báo xuất hiện sau thay đổi.
- Dùng ngưỡng khác nhau cho tài khoản thường và tài khoản đặc quyền.
- Kết hợp với 4624 và 4740 (khoá tài khoản) để thấy toàn cảnh.
Áp dụng thế nào?
- Analyst/IT: luôn hỏi “đây là người, dịch vụ hay kẻ tấn công?” trước khi leo thang.
- Tech Lead/Quản trị: sau khi đổi mật khẩu service account, rà soát nơi còn dùng mật khẩu cũ để tránh khoá tài khoản hàng loạt.
- PM: số lượng cảnh báo cao không đồng nghĩa nhiều tấn công; đo cả tỉ lệ báo động giả để đánh giá chất lượng giám sát.