Tenemos una cuenta de dominio que se está bloqueando a través de 1 de 2 servidores. La auditoría integrada solo nos dice eso (bloqueado de SERVER1, SERVER2).
La cuenta se bloquea dentro de los 5 minutos, al parecer, aproximadamente 1 solicitud por minuto.
Inicialmente intenté ejecutar procmon (desde sysinternals) para ver si se generaba un nuevo PROCESO DE INICIO después de desbloquear la cuenta. No surge nada sospechoso. Después de ejecutar procmon en mi estación de trabajo y elevarlo a un shell UAC (conscent.exe), parece que desde la pila aparece ntdll.dlly rpct4.dllrecibe una llamada cuando intenta autenticar contra AD (no estoy seguro).
¿Hay alguna forma de restringir qué proceso está causando una solicitud de autenticación a nuestro DC? Siempre es el mismo DC, por lo que sabemos que debe ser un servidor en ese sitio. Podría intentar buscar las llamadas en wireshark, pero no estoy seguro de que eso reduciría qué proceso realmente lo está desencadenando.
Tampoco los servicios, las asignaciones de unidades o las tareas programadas utilizan esa cuenta de dominio, por lo que debe ser algo que tenga almacenados los créditos de dominio. No hay sesiones RDP abiertas con esa cuenta de dominio en ningún servidor (verificamos).
Notas adicionales
Sí, las auditorías de inicio de sesión de "éxito / falla" están habilitadas en el DC en cuestión: no se registran eventos de falla hasta que la cuenta esté bloqueada.
Más excavaciones muestran que LSASS.exerealiza una KERBEROSllamada al DC en cuestión una vez que se desbloquea la cuenta. Está precedido (generalmente) por Java, que parece ser llamado por vpxd.exeun proceso de vCenter. PERO, cuando miro al otro "servidor2" desde el que puede ocurrir el bloqueo de la cuenta (también), nunca veo una llamada lsass.exey solo se generan procesos de apache. La única relación que ambos tienen es que SERVER2 es parte del clúster vSphere de SERVER1 (el servidor1 es un sistema operativo vSphere).
Error en DC
Entonces, parece que todo lo que AD me va a decir es que es un error Kerberos previo a la autenticación. Verifiqué y no había boletos con kliste hice un rubor de todos modos por si acaso. Todavía no tengo idea de qué está causando este error kerberos.
Index : 202500597
EntryType : FailureAudit
InstanceId : 4771
Message : Kerberos pre-authentication failed.
Account Information:
Security ID: S-1-5-21-3381590919-2827822839-3002869273-5848
Account Name: USER
Service Information:
Service Name: krbtgt/DOMAIN
Network Information:
Client Address: ::ffff:x.x.x.x
Client Port: 61450
Additional Information:
Ticket Options: 0x40810010
Failure Code: 0x18
Pre-Authentication Type: 2
Certificate Information:
Certificate Issuer Name:
Certificate Serial Number:
Certificate Thumbprint:
Certificate information is only provided if a certificate was used for pre-authentication.
Pre-authentication types, ticket options and failure codes are defined in RFC 4120.
If the ticket was malformed or damaged during transit and could not be decrypted, then many fields
in this event might not be present.