Cách diễn giải ID sự kiện bảo mật Windows 4688 trong một cuộc điều tra

Để diễn giải ID sự kiện 4688, điều quan trọng là phải hiểu các trường khác nhau có trong nhật ký sự kiện. Các trường này có thể được sử dụng để phát hiện bất kỳ sự bất thường nào và theo dõi nguồn gốc của quy trình trở lại nguồn của nó.

• Chủ đề người tạo: trường này cung cấp thông tin về tài khoản người dùng đã yêu cầu tạo quy trình mới. Trường này cung cấp ngữ cảnh và có thể giúp các nhà điều tra pháp y xác định các điểm bất thường. Nó bao gồm một số trường con, bao gồm:

• • Mã định danh bảo mật (SID)” Theo microsoft, SID là một giá trị duy nhất được sử dụng để xác định người được ủy thác. Nó được sử dụng để xác định người dùng trên máy Windows.
  • Tên tài khoản: SID được giải quyết để hiển thị tên của tài khoản đã bắt đầu tạo quy trình mới.
  • Tên miền tài khoản: tên miền mà máy tính thuộc về.
  • ID đăng nhập: một giá trị thập lục phân duy nhất được sử dụng để xác định phiên đăng nhập của người dùng. Nó có thể được sử dụng để tương quan các sự kiện chứa cùng một ID sự kiện.

• Chủ đề mục tiêu: trường này cung cấp thông tin về tài khoản người dùng mà quy trình đang chạy. Trong một số trường hợp, chủ đề được đề cập trong sự kiện tạo quy trình có thể khác với chủ thể được đề cập trong sự kiện kết thúc quy trình. Vì vậy, khi người tạo và mục tiêu không có cùng một thông tin đăng nhập, điều quan trọng là phải bao gồm chủ thể mục tiêu mặc dù cả hai đều tham chiếu cùng một ID tiến trình. Các trường con giống như trường con của chủ thể tác giả ở trên.
• Thông tin quy trình: trường này cung cấp thông tin chi tiết về quy trình đã tạo. Nó bao gồm một số trường con, bao gồm:

• • ID quy trình mới (PID): một giá trị thập lục phân duy nhất được gán cho quy trình mới. Hệ điều hành Windows sử dụng nó để theo dõi các tiến trình đang hoạt động.
  • Tên quy trình mới: đường dẫn đầy đủ và tên của tệp thực thi đã được khởi chạy để tạo quy trình mới.
  • Loại đánh giá mã thông báo: đánh giá mã thông báo là một cơ chế bảo mật được Windows sử dụng để xác định xem tài khoản người dùng có được phép thực hiện một hành động cụ thể hay không. Loại mã thông báo mà quy trình sẽ sử dụng để yêu cầu các đặc quyền nâng cao được gọi là “loại đánh giá mã thông báo”. Có ba giá trị có thể có cho trường này. Loại 1 (%%1936) biểu thị rằng quy trình đang sử dụng mã thông báo người dùng mặc định và chưa yêu cầu bất kỳ quyền đặc biệt nào. Đối với trường này, nó là giá trị phổ biến nhất. Loại 2 (%%1937) biểu thị rằng quy trình đã yêu cầu các đặc quyền quản trị viên đầy đủ để chạy và đã thành công trong việc lấy chúng. Khi người dùng chạy một ứng dụng hoặc quy trình với tư cách quản trị viên, nó sẽ được bật. Loại 3 (%%1938) biểu thị rằng quy trình chỉ nhận được các quyền cần thiết để thực hiện hành động được yêu cầu, mặc dù nó đã yêu cầu các đặc quyền nâng cao.

• • Nhãn bắt buộc: nhãn toàn vẹn được gán cho quy trình. 
  • ID quy trình của người tạo: một giá trị thập lục phân duy nhất được gán cho quy trình đã khởi tạo quy trình mới. 
  • Creator Process Name: đường dẫn đầy đủ và tên của process đã tạo process mới.
  • Dòng lệnh quy trình: cung cấp chi tiết về các đối số được truyền vào lệnh để bắt đầu quy trình mới. Nó bao gồm một số trường con bao gồm thư mục hiện tại và giá trị băm.