Guía de referencia rápida para la resolución de problemas de bloqueo de cuentas

Solución de problemas de bloqueos persistentes de cuentas de usuario de AD

Microsoft Active Directory es un componente central de su infraestructura, controlando todo desde la configuración de seguridad hasta la Política de Grupo y la autenticación de usuarios. La cuenta de Active Directory de cada usuario controla su acceso a unidades de red y otros recursos, así como sus configuraciones de Windows y configuraciones de computadora.

Para contrarrestar ataques, la mayoría de las organizaciones establecen una política de bloqueo de cuenta para las cuentas de usuario: Tan pronto como se supera el conteo de contraseñas incorrectas para un usuario en particular, su cuenta de Active Directory se bloquea. Si su política de auditoría está habilitada, puede encontrar estos eventos en el registro de seguridad buscando el ID de evento 4740.

El registro de eventos de seguridad contiene la siguiente información:

• Asunto — ID de seguridad, Nombre de cuenta, Dominio de cuenta e ID de inicio de sesión de la cuenta que realizó la operación de bloqueo
• Cuenta que fue bloqueada — ID de seguridad y nombre de la cuenta bloqueada
• Información adicional — Nombre del equipo del llamante, que es el nombre del sistema desde el cual se generaron los intentos fallidos de inicio de sesión

Para habilitar una política de bloqueo de cuenta, necesita cambiar la configuración predeterminada de GPO.

Para restaurar el acceso de un empleado a los recursos que necesita después de que su cuenta de usuario haya sido bloqueada, un administrador de AD tiene que desbloquearla con Active Directory Users and Computers en un controlador de dominio (DC) utilizando ya sea un script de PowerShell o herramientas de bloqueo de cuenta y gestión de incidentes para la recuperación.

A veces una cuenta de AD se bloquea después de cada desbloqueo. En este caso, suele haber un problema mayor que un usuario intentando iniciar sesión con la contraseña incorrecta, como:

• Configuración incorrecta de aplicaciones o servicios en estaciones de trabajo
• Problemas de configuración del servidor
• Acciones maliciosas por parte de agentes externos o internos, como un ataque de diccionario

Los incidentes persistentes de bloqueo de cuenta requieren una investigación inmediata. A menudo, hay que rastrear la dirección IP o el nombre del dispositivo fuente del bloqueo. Algunos problemas comunes se pueden resolver revisando el administrador de credenciales, desbloqueando la cuenta a través de PowerShell o simplemente actualizando su emulador PDC.

Esta guía describe herramientas útiles para encontrar una cuenta bloqueada, determinar la razón detrás del bloqueo y desbloquear la cuenta. También enumera las causas raíz más comunes de bloqueos de cuentas y cómo verificar cada una de ellas.