Testa le tue competenze

In Windows, l’Event ID 4624 indica un accesso riuscito.

Il Logon Type 10 è associato a un accesso Remote Interactive, quindi nella maggior parte dei casi a una sessione tramite Remote Desktop Protocol.

Questo dato è utile perché aiuta a capire come è avvenuto l’accesso, non solo se l’accesso è riuscito.

Le altre risposte non sono corrette perché:

A. L’accesso locale dalla tastiera del computer è in genere Logon Type 2.
B. L’accesso a una risorsa condivisa via rete, come una share SMB, è in genere Logon Type 3.
D. L’avvio di un servizio Windows è associato a Logon Type 5.

In un’analisi di sicurezza, un Logon Type 10 va verificato guardando anche:

• account usato
• IP sorgente
• orario dell’accesso
• host di destinazione
• eventuali tentativi falliti precedenti
• attività successive alla sessione RDP

Un accesso RDP non è per forza sospetto, ma diventa interessante se arriva da un IP insolito, da un account non previsto o fuori dagli orari abituali.