RDP Event ID 24: Sesión desconectada
- Event ID
- 24
- Registro
- Microsoft-Windows-TerminalServices-LocalSessionManager/Operational
- Proveedor
- Microsoft-Windows-TerminalServices-LocalSessionManager
- Archivo
- Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx
- Categoría
- Acceso remoto
- Registro predeterminado
- Activado por defecto
Qué significa el evento 24
El evento 24 registra que una sesión se separó de su cliente: se cerró la ventana RDP, se cayó la red u otro cliente tomó la sesión. La sesión sigue ejecutándose en el servidor con sus procesos y credenciales, así que puede retomarse (evento 25).
El campo Address indica el cliente que estaba conectado en ese momento. Una serie de pares 24/25 con direcciones cambiantes muestra una sesión utilizada desde varios lugares.
Cuándo se registra
Ninguno: el canal LocalSessionManager/Operational está habilitado por defecto.
Campos clave
| Campo | Qué indica |
|---|---|
| User | Cuenta cuya sesión se desconectó. |
| SessionID | Número de sesión. |
| Address | Dirección IP del cliente que estaba conectado, o LOCAL. |
Orígenes legítimos habituales
- Usuarios que cierran la ventana RDP en lugar de cerrar sesión, portátiles que entran en suspensión, redes inestables.
Qué hacen los atacantes para generarlo
- Operadores que dejan una sesión en ejecución para volver más tarde con un 25.
- Secuestro o toma de control de sesiones: una desconexión seguida de una reconexión de la misma sesión desde otra dirección o por otra sesión (véase el 39).
Consejos de investigación
- Siga el SessionID hasta el siguiente 25 o 23; compare los valores de Address.
- Combínelo con el 4779 de Seguridad para obtener el ID de inicio de sesión y con el 40 para el código de motivo de la desconexión.
Técnicas MITRE ATT&CK
| Técnica | Tácticas |
|---|---|
| T1021.001 Remote Services: Remote Desktop Protocol | Lateral Movement |
MITRE ATT&CK v19.2. Nombres de técnicas y tácticas según MITRE (en inglés).
Reglas Sigma para este evento
Ninguna regla SigmaHQ incluida apunta específicamente a este Event ID. Las reglas de eventos relacionados pueden cubrir la actividad.
Ejecute estas reglas en sus registros
Suelte un archivo .evtx en el visor: las 2395 reglas SigmaHQ incluidas se ejecutan en su navegador. No se sube nada.