Introducción
En este documento se describen los eventos de ventana/eventID que lee un conector de forma predeterminada.
Overview
Técnicamente, el dispositivo virtual Umbrella (VA) solo tiene visibilidad de qué dirección IP de origen recibe una consulta DNS. Para que un usuario se asocie con la solicitud DNS, el VA funciona junto con el conector, lo que da lugar a una asignación de usuario a IP.
El conector lee los eventos con ID de evento específicos de los registros de eventos de seguridad de los controladores de dominio. A continuación, se analizan estos eventos y se envían el nombre de usuario y la dirección IP de origen al dispositivo virtual, que crea una asignación entre esa IP de origen y el usuario.
Si los controladores de dominio no están auditando estos eventos, el proceso de asignación de VA no puede llevarse a cabo correctamente. En este artículo se describe exactamente el tipo de ID de evento que el conector observa de forma predeterminada.
|
IDevento
|
Descripción
|
|
4624
|
El evento 4624 documenta todos y cada uno de los intentos correctos de iniciar sesión en el equipo local, independientemente del tipo de inicio de sesión, la ubicación del usuario o el tipo de cuenta.
|
|
528
|
El evento 528 se registra cada vez que una cuenta inicia sesión en el equipo local, excepto en el caso de los inicios de sesión en la red. El evento 528 se registra tanto si la cuenta utilizada para el inicio de sesión es una cuenta SAM local como una cuenta de dominio.
|
|
540
|
El evento 540 se registra cuando un usuario de otro lugar de la red se conecta a un recurso (como una carpeta compartida) proporcionado por el servicio Servidor de este equipo.
|
|
4768
|
Este evento solo se registra en controladores de dominio y se registran tanto las instancias correctas como las incorrectas de este evento.
|
|
4769
|
Windows utiliza este ID de evento para las solicitudes de vales de servicio correctas y fallidas.
|
Si el conector no puede leer los eventos directamente desde los Registros de eventos de seguridad del controlador de dominio, puede generar un vale de soporte con Umbrella solicitando que se cambie a la suscripción WMI. En el caso de las suscripciones WMI, el conector se suscribe a todos los eventos enumerados anteriormente. Además, el conector también se suscribe a los eventos de cierre de sesión con EventID, como se indica a continuación. Tenga en cuenta que, de forma predeterminada, el conector no lee estos eventos de cierre de sesión de los registros de eventos de seguridad.
|
IDevento
|
Descripción
|
|
538
|
El evento 538 se registra cada vez que un usuario cierra la sesión, ya sea desde una conexión de red, un inicio de sesión interactivo u otro tipo de inicio de sesión (consulte el evento 528 para ver un gráfico de los tipos de inicio de sesión).
|
|
4647
|
Este evento señala el final de una sesión de inicio de sesión y se puede correlacionar con el evento de inicio de sesión 4624 mediante el ID de inicio de sesión.
|
|
4634
|
Este evento también indica el final de una sesión de inicio de sesión y puede relacionarse con el evento de inicio de sesión 4624 mediante el ID de inicio de sesión.
|
Comentarios