Visualización SIEM - Intentos Fallidos de Inicio de Sesión en Usuarios Deshabilitados

⚙️ Concepto General

Los intentos fallidos de inicio de sesión con usuarios deshabilitados siempre fallarán, incluso si las credenciales son correctas.
En los registros de Windows, este tipo de fallo se representa con el valor de SubStatus: 0xC0000072, que indica “cuenta deshabilitada”.

📌 Objetivo: Detectar y visualizar estos eventos fallidos en un dashboard de Elastic (Kibana).

🧭 Pasos para Crear la Visualización

1. Navega a 👉 http://[Target IP]:5601

2. Haz clic en el menú lateral y selecciona “Dashboard”.

3. Edita el dashboard existente (SOC-Alerts) haciendo clic en el ✏️ icono de edición.
   

4. Presiona el botón “Create visualization” para iniciar una nueva visualización.

!Pasted image - ejemplo dashboard.png

🔍 Configuración de Filtros

Antes de configurar la tabla, debemos filtrar los eventos relevantes.

📜 Filtro aplicado:

event.code: 4625 AND winlog.event_data.SubStatus: 0xC0000072

🧩 Configuración del Dataset y Campos

• Índice: windows*
  (Contiene los eventos provenientes de sistemas Windows)

• Campo a visualizar: user.name.keyword
  (Representa el nombre del usuario que realizó el intento)

🧱 Tipo de Visualización

Selecciona “Table” como tipo de visualización.
Luego, configura los siguientes campos:

🔹 Filas (Rows)

• user.name.keyword → Nombre del usuario deshabilitado.

• host.hostname.keyword → Nombre del equipo donde ocurrió el intento.

🔹 Métricas (Metrics)

• count → Cantidad total de eventos registrados.

📋 Ejemplo de Tabla Resultante

💾 Guardar la Visualización

Haz clic en “Save and return” para agregar la tabla al dashboard existente.
Puedes renombrar la visualización como:

“Intentos fallidos (Usuarios deshabilitados)”

🕒 Consejo Final

🔗 Referencia

📚 MITRE ATT&CK Framework – Official Site
📘 Documentación de Elastic Stack