事件 ID 4771 - Kerberos 预身份验证失败

当票证授予票证 (TGT) 失败时，它将记录事件 ID 4771 日志 Kerberos 预身份验证失败。

当用户在其工作站中输入其域用户名和密码时，工作站会联系本地域控制器 (DC) 并请求 Kerberos TGT（票证授予票证）。

如果域用户名和密码经过验证并通过安全限制检查，域控制器 (DC) 会授予 TGT 并记录事件 ID 4768。

如果票证请求在 Kerberos 预身份验证步骤期间失败，则会引发事件 ID 4768。

如果请求 TGT 失败，该事件将被记录到事件 ID 4771 并记录在 DC 上。

如果为帐户设置了“不需要 Kerberos 预身份验证”选项，则不会生成事件。

在本文中，我们将讨论事件 ID 4771、有关事件 ID 4771 的信息以及结果代码。

事件 ID 4771 信息

让我们详细了解事件 ID 4771 及其字段。

事件 ID 4771 XML 格式

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{62736363-7623-8273-B5CA-2E3C0352D30E}" /> 
 <EventID>4771</EventID> 
 <Version>0</Version> 
 <Level>0</Level> 
 <Task>14339</Task> 
 <Opcode>0</Opcode> 
 <Keywords>0x8010000000000000</Keywords> 
 <TimeCreated SystemTime="2022-01-22T18:10:21.495462300Z" /> 
 <EventRecordID>16708</EventRecordID> 
 <Correlation /> 
 <Execution ProcessID="520" ThreadID="1084" /> 
 <Channel>Security</Channel> 
 <Computer>DC01.ShellGeek.local</Computer> 
 <Security /> 
 </System>
- <EventData>
 <Data Name="TargetUserName">admin</Data> 
 <Data Name="TargetSid">S-1-4-21-2637363212-72736362722-73374747474-1288</Data> 
 <Data Name="ServiceName">krbtgt/SHELLGEEK.LOCAL</Data> 
 <Data Name="TicketOptions">0x40810010</Data> 
 <Data Name="Status">0x10</Data> 
 <Data Name="PreAuthType">15</Data> 
 <Data Name="IpAddress">::ffff:10.101.22.112</Data> 
 <Data Name="IpPort">46272</Data> 
 <Data Name="CertIssuerName" /> 
 <Data Name="CertSerialNumber" /> 
 <Data Name="CertThumbprint" /> 
 </EventData>
 </Event>

酷提示：如何在 PowerShell 中将 XML 转换为 CSV 文件！

字段说明：

账户信息

• 安全 ID： 请求 TGT 票证的帐户的安全 ID。

• 帐户名称：请求 TGT 票据的帐户名称。例如，管理员

服务信息

• 服务名称：TGT 请求发送到的 Kerberos 领域中的服务名称。例如 krbtgt/SHELLGEEK.LOCAL

网络信息

• 客户端地址：接收 TGT 请求的计算机的 IP 地址。例如：::ffff:10.101.22.112

• 客户端端口：客户端网络连接（TGT请求连接）的源端口号。例如：46272

其他信息

• 票证选项：这组不同的票证标志采用十六进制格式。例如：0x40810010

最常见的值：

• 0x40810010 - 可转发、可更新、规范化、可更新-ok
• 0x40810000 - 可转发、可更新、规范化
• 0x60810010 - 可转发、转发、可更新、规范化、可更新-ok

酷提示：事件 ID 4634 - 帐户已注销！

票证标志如下表所示

酷提示：事件 ID 4776 代码 0xc0000234 - 修复以查找尝试来源！

• 失败代码： TGT 发行操作失败的十六进制失败代码。下表列出了故障错误代码。

酷提示：如何在 PowerShell 中操作 Active Directory UserAccountControl 标志！

• 预认证类型：TGT请求中使用的预认证类型代码。

预认证类型如下表所示

认证信息

• 证书颁发者名称：颁发智能卡证书的证书颁发机构的名称。对于 4771 事件，它始终保持为空。
• 证书序列号：智能卡证书的序列号。
• 证书指纹：智能卡证书的指纹。

酷提示：事件 ID 4625 状态代码 0xc000006a - 修复以查找尝试来源！

结论

在上面有关事件 ID 4771 的文章中，我们讨论了事件 ID 4771 信息、其字段及其在事件中使用的代码。

最佳实践是，监控客户端 IP 地址是否来自您的内部 IP 范围内或外部。

如果客户端 IP 或帐户名不是来自您的组织，您可以设置警报或触发器。它将帮助您保护域中的计算机。

酷提示：事件 ID 4670 - 对象的权限已更改！

本文参考 Microsoft 官方知识库文章获取错误代码。您可以在官方 Microsoft 知识库文章中找到更多 Kerberos 票证错误代码和失败错误代码。

您可以在 ShellGeek 主页上找到有关 PowerShell Active Directory 命令和 PowerShell 基础知识的更多主题。

您可以阅读有关其他 Windows 安全和系统事件日志的更多信息，如下所示：

• 事件 ID 4670 - 系统重新启动或关闭
• 事件 ID 4624 - 帐户已成功登录。