4771(F) Kerberos 事前認証に失敗しました。

4771(F): Kerberos 事前認証に失敗しました。

サブカテゴリ: Kerberos 認証サービスの監査

イベントの説明:

このイベントは、Key Distribution Center が Kerberos チケット授与チケット (TGT) の発行に失敗するたびに生成されます。この問題は、ドメイン コントローラーにスマート カード認証用の証明書がインストールされていない場合 (たとえば、「ドメイン コントローラー」または「ドメイン コントローラー認証」テンプレートを使用)、ユーザーのパスワードが期限切れになっている場合、または間違ったパスワードが提供された場合に発生する可能性があります。

このイベントはドメイン コントローラーでのみ生成されます。

アカウントに「Kerberos 事前認証を要求しない」オプションが設定されている場合、このイベントは生成されません。

注  推奨事項については、このイベントのセキュリティ監視の推奨事項を参照してください。

イベント XML:

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-5478-4994-A5BA-3E3B0328C30D}" /> 
 <EventID>4771</EventID> 
 <Version>0</Version> 
 <Level>0</Level> 
 <Task>14339</Task> 
 <Opcode>0</Opcode> 
 <Keywords>0x8010000000000000</Keywords> 
 <TimeCreated SystemTime="2015-08-07T18:10:21.495462300Z" /> 
 <EventRecordID>166708</EventRecordID> 
 <Correlation /> 
 <Execution ProcessID="520" ThreadID="1084" /> 
 <Channel>Security</Channel> 
 <Computer>DC01.contoso.local</Computer> 
 <Security /> 
 </System>
- <EventData>
 <Data Name="TargetUserName">dadmin</Data> 
 <Data Name="TargetSid">S-1-5-21-3457937927-2839227994-823803824-1104</Data> 
 <Data Name="ServiceName">krbtgt/CONTOSO.LOCAL</Data> 
 <Data Name="TicketOptions">0x40810010</Data> 
 <Data Name="Status">0x10</Data> 
 <Data Name="PreAuthType">15</Data> 
 <Data Name="IpAddress">::ffff:10.0.0.12</Data> 
 <Data Name="IpPort">49254</Data> 
 <Data Name="CertIssuerName" /> 
 <Data Name="CertSerialNumber" /> 
 <Data Name="CertThumbprint" /> 
 </EventData>
 </Event>

必要なサーバー ロール: Active Directory ドメイン コントローラー。

最小 OS バージョン: Windows Server 2008。

イベント バージョン: 0。

フィールドの説明:

アカウント情報:

• セキュリティ ID [タイプ = SID]: (TGT) チケットが要求されたアカウント オブジェクトの SID。イベント ビューアーは自動的に SID を解決してアカウント名を表示しようとします。SID を解決できない場合、イベントにソース データが表示されます。

  例: CONTOSO\dadmin または CONTOSO\WIN81$。

注  セキュリティ識別子 (SID) は、信託者 (セキュリティ プリンシパル) を識別するために使用される可変長の一意の値です。各アカウントには、Active Directory ドメイン コントローラーなどの権限によって発行され、セキュリティ データベースに保存される一意の SID があります。ユーザーがログオンするたびに、システムはデータベースからそのユーザーの SID を取得し、そのユーザーのアクセス トークンに配置します。システムは、アクセス トークン内の SID を使用して、以降のすべての Windows セキュリティとのやり取りでユーザーを識別します。SID がユーザーまたはグループの一意の識別子として使用された場合、それが再び別のユーザーまたはグループを識別するために使用されることはありません。SID の詳細については、セキュリティ識別子を参照してください。

• アカウント名: [Type = UnicodeString]: TGTチケットが要求されたアカウントの名前。コンピュータアカウント名は**$**文字で終わります。

  • ユーザーアカウントの例: dadmin

  • コンピュータアカウントの例: WIN81$

サービス情報:

• サービス名 [Type = UnicodeString]: TGT要求が送信されたKerberos Realmのサービス名。通常、以下の形式のいずれかになります:

  • krbtgt/DOMAIN_NETBIOS_NAME. 例: krbtgt/CONTOSO

  • krbtgt/DOMAIN_FULL_NAME. 例: krbtgt/CONTOSO.LOCAL

ネットワーク情報:

• クライアントアドレス [Type = UnicodeString]: TGT要求が受信されたコンピュータのIPアドレス。以下は形式の例です:

  • IPv6またはIPv4アドレス。

  • ::ffff:IPv4_address。

  • ::1 - ローカルホスト。

• クライアントポート [Type = UnicodeString]: クライアントネットワーク接続（TGT要求接続）のソースポート番号。

  • ローカル（localhost）要求の場合は0。

追加情報:

• チケットオプション: [Type = HexInt32]: これは16進数形式の異なるチケットフラグのセットです。

  例:

  • チケットオプション: 0x40810010

  • バイナリビュー: 01000000100000010000000000010000

  • MSB 0ビット番号付けを使用すると、ビット1、8、15、27が設定されており、Forwardable、Renewable、Canonicalize、Renewable-okとなります。

注  以下の表では**“MSB 0”**ビット番号付けが使用されています。これはRFCドキュメントで使用されるスタイルです。“MSB 0"スタイルではビット番号付けは左から始まります。

最も一般的な値:

• 0x40810010 - Forwardable、Renewable、Canonicalize、Renewable-ok

• 0x40810000 - Forwardable、Renewable、Canonicalize

• 0x60810010 - Forwardable、Forwarded、Renewable、Canonicalize、Renewable-ok

表6. Kerberosチケットフラグ。

• 失敗コード [Type = HexInt32]: 失敗したTGT発行操作の16進数の失敗コード。以下の表には、RFC 4120で定義されたこのイベントのエラーコードのリストが含まれています：

• 事前認証タイプ [Type = UnicodeString]: TGTリクエストで使用された事前認証タイプのコード。

証明書情報:

• 証明書発行者名 [タイプ = UnicodeString]: スマートカード証明書を発行した認証局の名前。証明書の発行者フィールドに入力されます。4771 イベントでは常に空です。

• 証明書シリアル番号 [タイプ = UnicodeString]: スマートカード証明書のシリアル番号。証明書のシリアル番号フィールドに記載されています。4771 イベントでは常に空です。

• 証明書サムプリント [タイプ = UnicodeString]: スマートカード証明書のサムプリント。証明書のサムプリントフィールドに記載されています。4771 イベントでは常に空です。

セキュリティ監視の推奨事項

4771(F): Kerberos 事前認証に失敗しました。

• 内部IP範囲やプライベートIP範囲外からのクライアントアドレスがある4771イベントをすべて追跡できます。

• アカウント名が特定のIPアドレスリストからのみ使用されるべきであることがわかっている場合、4771イベントでこのアカウント名のすべてのクライアントアドレス値を追跡します。クライアントアドレスが許可リストにない場合、アラートを生成します。

• すべてのクライアントアドレス = ::1はローカル認証を意味します。ドメインコントローラーにログオンするべきアカウントのリストがわかっている場合、クライアントアドレス = ::1でアカウント名がどのドメインコントローラーにもログオンすることが許可されていないすべての違反を監視する必要があります。

• クライアントポートフィールドの値が0より大きく1024未満のすべての4771イベントを調査する必要があります。これは、アウトバウンド接続に既知のポートが使用されたことを意味します。

• また、以下の表に示すフィールドを監視して、リストされた問題を発見します：