Kif Tinterpreta l-ID tal-Avveniment tas-Sigurtà tal-Windows 4688 f'Investigazzjoni
introduzzjoni
Skond Microsoft, l-IDs tal-avvenimenti (imsejħa wkoll identifikaturi tal-avvenimenti) jidentifikaw b'mod uniku avveniment partikolari. Huwa identifikatur numeriku mehmuż ma' kull avveniment illoggjat mis-sistema operattiva Windows. L-identifikatur jipprovdi informazzjoni dwar l-avveniment li seħħ u jistgħu jintużaw biex jiġu identifikati u ssolvi problemi relatati mal-operazzjonijiet tas-sistema. Avveniment, f'dan il-kuntest, jirreferi għal kwalunkwe azzjoni mwettqa mis-sistema jew minn utent fuq sistema. Dawn l-avvenimenti jistgħu jidhru fuq il-Windows bl-użu tal-Event Viewer
L-ID tal-avveniment 4688 jiġi rreġistrat kull meta jinħoloq proċess ġdid. Jiddokumenta kull programm esegwit mill-magna u d-dejta ta 'identifikazzjoni tagħha, inkluż il-kreatur, il-mira, u l-proċess li bedah. Diversi avvenimenti huma rreġistrati taħt l-ID tal-avveniment 4688. Mal-login, Is-Session Manager Subsystem (SMSS.exe) hija mnedija, u l-avveniment 4688 huwa illoggjat. Jekk sistema tkun infettata b'malware, il-malware x'aktarx joħloq proċessi ġodda biex jitħaddem. Tali proċessi jkunu dokumentati taħt ID 4688.
Interpretazzjoni tal-Avveniment ID 4688
Sabiex tinterpreta l-avveniment ID 4688, huwa importanti li tifhem l-oqsma differenti inklużi fir-reġistru tal-avvenimenti. Dawn l-oqsma jistgħu jintużaw biex jiskopru kwalunkwe irregolarità u jsegwu l-oriġini ta 'proċess lura għas-sors tiegħu.
- Suġġett tal-Ħallieq: dan il-qasam jipprovdi informazzjoni dwar il-kont tal-utent li talab il-ħolqien ta' proċess ġdid. Dan il-qasam jipprovdi kuntest u jista' jgħin lill-investigaturi forensiċi jidentifikaw anomaliji. Jinkludi diversi subfields, inklużi:
- Identifikatur tas-Sigurtà (SID)” Skont Microsoft, is-SID huwa valur uniku użat biex jiġi identifikat trustee. Jintuża biex jidentifika l-utenti fuq il-magna tal-Windows.
- Isem tal-Kont: is-SID huwa riżolt biex juri l-isem tal-kont li beda l-ħolqien tal-proċess il-ġdid.
- Dominju tal-Kont: id-dominju li jappartjeni għalih il-kompjuter.
- Logon ID: valur eżadeċimali uniku li jintuża biex jidentifika s-sessjoni tal-logon tal-utent. Tista' tintuża biex tikkorrelata avvenimenti li fihom l-istess ID tal-avveniment.
- Suġġett fil-mira: dan il-qasam jipprovdi informazzjoni dwar il-kont tal-utent li fih ikun qed jaħdem il-proċess. Is-suġġett imsemmi fl-avveniment tal-ħolqien tal-proċess jista', f'xi ċirkostanzi, ikun distint mis-suġġett imsemmi fl-avveniment tat-terminazzjoni tal-proċess. Għalhekk, meta l-kreatur u l-mira ma jkollhomx l-istess logon, huwa importanti li jiġi inkluż is-suġġett fil-mira minkejja li t-tnejn jirreferu għall-istess ID tal-proċess. Is-subfields huma l-istess bħal dawk tas-suġġett kreatur hawn fuq.
- Informazzjoni dwar il-Proċess: dan il-qasam jipprovdi informazzjoni dettaljata dwar il-proċess maħluq. Jinkludi diversi subfields, inklużi:
- New Process ID (PID): valur eżadeċimali uniku assenjat lill-proċess il-ġdid. Is-sistema operattiva Windows tużaha biex iżżomm kont tal-proċessi attivi.
- Isem tal-Proċess Ġdid: it-triq sħiħa u l-isem tal-fajl eżekutibbli li tnieda biex jinħoloq il-proċess il-ġdid.
- Tip ta' Evalwazzjoni tat-Token: l-evalwazzjoni tat-token hija mekkaniżmu ta' sigurtà użat mill-Windows biex jiddetermina jekk kont tal-utent huwiex awtorizzat li jwettaq azzjoni partikolari. It-tip ta’ token li proċess se juża biex jitlob privileġġi elevati jissejjaħ “tip ta’ evalwazzjoni token”. Hemm tliet valuri possibbli għal dan il-qasam. Tip 1 (%%1936) jindika li l-proċess qed juża t-token tal-utent default u ma talab l-ebda permess speċjali. Għal dan il-qasam, huwa l-aktar valur komuni. It-Tip 2 (%%1937) jindika li l-proċess talab privileġġi sħaħ ta' amministratur biex jaħdem u rnexxielu jiksebhom. Meta utent imexxi applikazzjoni jew proċess bħala amministratur, ikun attivat. It-Tip 3 (%%1938) jindika li l-proċess irċieva biss id-drittijiet meħtieġa biex titwettaq l-azzjoni mitluba, minkejja li talab privileġġi elevati.
- Tikketta Obbligatorja: tikketta ta' integrità assenjata lill-proċess.
- ID tal-Proċess tal-Ħallieq: valur eżadeċimali uniku assenjat lill-proċess li beda l-proċess il-ġdid.
- Isem tal-Proċess tal-Ħallieq: mogħdija sħiħa u isem tal-proċess li ħoloq il-proċess il-ġdid.
- Linja tal-Kmand tal-Proċess: tipprovdi dettalji dwar l-argumenti mgħoddija fil-kmand biex jinbeda l-proċess il-ġdid. Jinkludi diversi subfields inkluż id-direttorju kurrenti u l-hashes.
konklużjoni
Meta jiġi analizzat proċess, huwa vitali li jiġi determinat jekk huwiex leġittimu jew malizzjuż. Proċess leġittimu jista' faċilment jiġi identifikat billi tħares lejn is-suġġett tal-kreatur u l-oqsma tal-informazzjoni tal-proċess. L-ID tal-Proċess tista' tintuża biex tidentifika anomaliji, bħal proċess ġdid li qed jitnissel minn proċess ġenitur mhux tas-soltu. Il-linja tal-kmand tista 'tintuża wkoll biex tivverifika l-leġittimità ta' proċess. Pereżempju, proċess b'argumenti li jinkludi mogħdija tal-fajl għal data sensittiva jista' jindika intenzjoni malizzjuża. Il-qasam tas-Suġġett tal-Ħallieq jista' jintuża biex jiddetermina jekk il-kont tal-utent huwiex assoċjat ma' attività suspettuża jew għandux privileġġi elevati.
Barra minn hekk, huwa importanti li tikkorrelata l-avveniment ID 4688 ma 'avvenimenti rilevanti oħra fis-sistema biex jinkiseb kuntest dwar il-proċess maħluq ġdid. L-ID tal-avveniment 4688 jista 'jiġi korrelatat ma' 5156 biex jiddetermina jekk il-proċess il-ġdid huwiex assoċjat ma 'xi konnessjonijiet tan-netwerk. Jekk il-proċess il-ġdid ikun assoċjat ma' servizz li għadu kif ġie installat, l-avveniment 4697 (installazzjoni tas-servizz) jista' jiġi korrelatat ma' 4688 biex jipprovdi informazzjoni addizzjonali. Event ID 5140 (ħolqien ta' fajls) tista' tintuża wkoll biex tidentifika kwalunkwe fajl ġdid maħluqa mill-proċess il-ġdid.
Bħala konklużjoni, il-fehim tal-kuntest tas-sistema huwa li jiġi ddeterminat il-potenzjal impatt tal-proċess. Proċess mibdi fuq server kritiku x'aktarx ikollu impatt akbar minn wieħed imniedi fuq magna waħedha. Il-kuntest jgħin jidderieġi l-investigazzjoni, jipprijoritizza r-rispons u jimmaniġġja r-riżorsi. Billi jiġu analizzati l-oqsma differenti fir-reġistru tal-avvenimenti u billi twettaq korrelazzjoni ma 'avvenimenti oħra, proċessi anomali jistgħu jiġu rintraċċati għall-oriġini tagħhom u l-kawża tiġi ddeterminata.
