// REFERENCIA
4625 — Fallo de inicio de sesión
Registro: Security
Riesgo medio
Un intento de inicio de sesión ha fallado. El Status/Sub Status explica por qué (usuario inexistente, contraseña incorrecta, cuenta deshabilitada…). Es el evento estrella para detectar fuerza bruta y password spraying.
Para caza: muchos 4625 con una sola contraseña contra muchas cuentas (spraying), o ráfagas contra una cuenta desde una IP externa.
Herramientas relacionadas
Trabaja con esto en:
Relacionados
4624
4624 — Inicio de sesión correcto 4634
4634 — Cierre de sesión 4647
4647 — Cierre de sesión iniciado por el usuario 4800
4800 — Estación de trabajo bloqueada 4801
4801 — Estación de trabajo desbloqueada 4778
4778 — Sesión reconectada (RDP)
4624 — Inicio de sesión correcto 4634
4634 — Cierre de sesión 4647
4647 — Cierre de sesión iniciado por el usuario 4800
4800 — Estación de trabajo bloqueada 4801
4801 — Estación de trabajo desbloqueada 4778
4778 — Sesión reconectada (RDP)
Descripciones propias basadas en la documentación pública de Microsoft. Los IDs y campos pueden variar según la versión de Windows y la política de auditoría activa.