Для начала полезны Security 4624/4625 — успешный и неуспешный вход, 4634 — завершение сеанса, 4672 — специальные привилегии нового входа, 4688 — создание процесса, 4720/4726 — создание и удаление пользователя, 1102 — очистка Security. Установка службы также отражается событием 7045 Service Control Manager в System. Всегда учитывайте источник и журнал.
Какие Windows Event ID полезно знать при расследовании инцидентов?
Основные события входа, процессов, учетных записей и служб с указанием журнала; почему номер без источника не дает однозначного смысла.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Event ID — не глобально уникальный смысловой код на всю Windows. Его читают вместе с поставщиком события, журналом и версией схемы. Поэтому запоминать только число недостаточно.
| Журнал и источник | ID | Что означает |
|---|---|---|
| Security, Security-Auditing | 4624 | Успешное создание сеанса входа |
| Security, Security-Auditing | 4625 | Неудачная попытка входа |
| Security, Security-Auditing | 4634 | Завершение сеанса входа |
| Security, Security-Auditing | 4672 | Специальные привилегии назначены новому входу |
| Security, Security-Auditing | 4688 | Создан новый процесс |
| Security, Security-Auditing | 4720 | Создана учетная запись пользователя |
| Security, Security-Auditing | 4726 | Удалена учетная запись пользователя |
| Security, Eventlog | 1102 | Очищен журнал аудита Security |
| System, Service Control Manager | 7045 | Установлена служба |
Сбор многих событий зависит от политики аудита. Поэтому отсутствие записи может означать недостаточную телеметрию, а не отсутствие действия. Устройство аудита описано в документации Microsoft.
В расследовании строят связи по времени, компьютеру, учетной записи, сеансу и процессу. Например, успешный вход и последующая установка службы требуют контекста: это может быть разрешенная работа администратора. Само событие не является вердиктом о компрометации.
Не путайте 1102 с очисткой любого журнала и 4672 с постоянным добавлением пользователя в административную группу: это разные события.