// REFERENCIA
4624 — Inicio de sesión correcto
Registro: Security
Riesgo bajo
Se ha iniciado sesión correctamente en el equipo. El campo clave es el Logon Type: 2 (interactivo), 3 (red, p. ej. SMB), 10 (RDP), 5 (servicio). Cruzar el tipo con la cuenta y la IP de origen distingue lo rutinario de un acceso sospechoso.
Para caza: logons tipo 3/10 hacia varios hosts desde una misma cuenta, o logons de cuentas de servicio fuera de su patrón habitual.
Herramientas relacionadas
Trabaja con esto en:
Relacionados
4625
4625 — Fallo de inicio de sesión 4634
4634 — Cierre de sesión 4647
4647 — Cierre de sesión iniciado por el usuario 4800
4800 — Estación de trabajo bloqueada 4801
4801 — Estación de trabajo desbloqueada 4778
4778 — Sesión reconectada (RDP)
4625 — Fallo de inicio de sesión 4634
4634 — Cierre de sesión 4647
4647 — Cierre de sesión iniciado por el usuario 4800
4800 — Estación de trabajo bloqueada 4801
4801 — Estación de trabajo desbloqueada 4778
4778 — Sesión reconectada (RDP)
Descripciones propias basadas en la documentación pública de Microsoft. Los IDs y campos pueden variar según la versión de Windows y la política de auditoría activa.